De todo lo que he ido documentándome sobre malware estos días, esto es lo que más me ha costado encajar mentalmente al principio: ¿cómo puede haber un ataque sin ningún archivo malicioso? Toda la idea de “escanear en busca de virus” se basa en que hay algo que escanear. El malware fileless rompe esa base por completo.

Qué significa “fileless” en la práctica

El nombre lo dice todo, aunque suene contradictorio: malware sin archivos. En vez de instalar un ejecutable en el disco duro (que es lo que la mayoría de antivirus tradicionales están diseñados para detectar, comparando archivos con firmas conocidas), este malware funciona directamente desde la memoria RAM, aprovechando herramientas legítimas que ya vienen instaladas en el propio sistema operativo.

Esto no es una metáfora: literalmente no hay un .exe sospechoso que analizar, no hay una carpeta rara con nombres extraños, no hay nada que un antivirus pueda “abrir y comparar” de la forma tradicional.

Cómo entra sin dejar un archivo detrás

El ataque suele empezar de forma bastante normal — un enlace malicioso, un documento con una macro, una vulnerabilidad sin parchear — pero en vez de descargar y ejecutar un archivo malicioso propio, el atacante utiliza herramientas que el propio sistema operativo ya incluye y considera de confianza. En Windows, las más habituales son:

  • PowerShell: permite ejecutar comandos y scripts complejos directamente en memoria.
  • WMI (Windows Management Instrumentation): una herramienta de administración legítima que también puede usarse para ejecutar código y mantener persistencia.
  • Macros de Office: pueden lanzar comandos del sistema sin que el usuario vea nada raro más allá de “habilitar contenido”.

La técnica se conoce como “living off the land” (vivir de la tierra): el atacante no trae sus propias herramientas, usa las que ya están instaladas y son de confianza para el sistema y para el propio antivirus. Un antivirus que reconoce powershell.exe como un proceso legítimo del sistema (porque lo es) no tiene forma sencilla de distinguir “PowerShell haciendo tareas normales de administración” de “PowerShell ejecutando código malicioso en memoria”, si se basa únicamente en firmas de archivos.

Por qué desaparece al reiniciar (y por qué eso también es un problema)

Al vivir en la memoria RAM en vez de en el disco, gran parte de este malware desaparece si se reinicia el equipo — la RAM se vacía al apagar. Esto suena a ventaja para la víctima, pero en la práctica complica más las cosas de lo que parece:

  • Hace la investigación forense mucho más difícil. Si alguien detecta actividad sospechosa y reinicia el equipo antes de analizarlo, buena parte de la evidencia se pierde con el propio reinicio.
  • No implica que la amenaza desaparezca del todo. Muchos ataques fileless combinan la ejecución en memoria con algún mecanismo de persistencia más discreto (una tarea programada, una entrada del registro de Windows) que vuelve a lanzar el proceso en memoria la próxima vez que arranca el sistema — así que el reinicio borra el síntoma, no necesariamente la causa.

No siempre parte de un archivo descargado

Otro matiz que rompe la intuición habitual: un ataque fileless ni siquiera necesita empezar con algo que el usuario descargue y ejecute voluntariamente. Algunas variantes aprovechan vulnerabilidades del propio navegador o de complementos como plugins desactualizados para ejecutar código directamente en memoria con solo visitar una página comprometida — sin ningún clic en “descargar”, sin ninguna macro que habilitar. El código malicioso se ejecuta como parte del propio proceso de renderizado de la página, y de ahí salta a herramientas legítimas del sistema para asentarse. Esto reduce todavía más la fricción para el atacante: no depende de que la víctima coopere ejecutando algo, solo de que visite una URL.

Por qué se usa tanto en ataques dirigidos

Este tipo de malware no es el más habitual en infecciones masivas y aleatorias — es especialmente común en ataques dirigidos y sofisticados, precisamente porque:

  • Pasa desapercibido frente a antivirus basados en firmas de archivo, que es la defensa más extendida y la que más gente tiene.
  • Aprovecha herramientas ya presentes, así que no necesita subir nada “nuevo” al sistema que pueda levantar sospechas.
  • Complica enormemente el análisis forense posterior, dificultando entender qué pasó exactamente y durante cuánto tiempo.

Cómo se defiende un sistema frente a esto

Si la detección por firma de archivo no sirve, la defensa tiene que mirar otra cosa: el comportamiento, no el archivo. Las herramientas modernas de seguridad (conocidas como EDR, Endpoint Detection and Response) no preguntan “¿este archivo coincide con un virus conocido?”, sino “¿este proceso legítimo está haciendo algo que normalmente no hace?” — por ejemplo, PowerShell abriendo conexiones de red hacia direcciones desconocidas, o WMI creando tareas programadas que nadie ha pedido. Es un cambio de enfoque completo: de vigilar archivos a vigilar comportamiento, y es la dirección en la que se mueve buena parte de la ciberseguridad defensiva moderna.

Pon a prueba lo que has entendido

¿Por qué un antivirus tradicional basado en firmas de archivo tiene tantas dificultades para detectar malware fileless?

Resumen rápido

El malware fileless opera directamente desde la memoria RAM, usando herramientas legítimas del propio sistema (PowerShell, WMI, macros de Office) en vez de instalar un archivo ejecutable propio — por eso evade los antivirus tradicionales basados en firmas de archivo. Desaparece total o parcialmente al reiniciar, lo que complica el análisis forense sin garantizar que la amenaza esté eliminada del todo. La defensa moderna frente a esto se basa en vigilar comportamiento anómalo, no archivos. Otro tipo de malware que también se caracteriza por priorizar el sigilo sobre el ataque directo, aunque con un objetivo muy distinto (usar tu hardware, no espiarte), lo tienes en cryptojacking: los síntomas que delatan que tu ordenador está minando criptomonedas para otra persona.