El trabajo oculto de un ordenador comprometido

13 de octubre de 2026

Un ordenador puede funcionar con normalidad mientras un atacante lo utiliza para otros fines. Así operan muchas botnets: redes de dispositivos comprometidos que sirven para lanzar ataques, distribuir fraude o abrir nuevas vías de acceso sin que el usuario lo perciba.

Durante la jornada de trabajo una persona puede abrir su portátil, consultar el correo y utilizarlo durante horas sin notar señales evidentes de actividad anómala. Mientras tanto, un programa instalado sin supervisión puede recibir instrucciones a través de internet y utilizar parte de los recursos del ordenador y de la conexión para ejecutar tareas que el usuario no ha autorizado. Para el usuario, todo parece funcionar con normalidad; para el atacante, ese ordenador ya forma parte de una infraestructura desde la que puede actuar.

⚠️Esa actividad oculta no siempre deja señales apreciables. Un ordenador lento o una conexión inestable pueden tener muchas explicaciones, por lo que no conviene interpretar esos indicios de forma aislada. El riesgo se confirma cuando un atacante consigue utilizar ese ordenador para generar tráfico, ejecutar órdenes o facilitar otros accesos.

Cómo un ordenador pasa a trabajar para un tercero

Una botnet reúne dispositivos en los que un atacante ha logrado ejecutar órdenes de forma remota. En una botnet pueden integrarse ordenadores, móviles, routers, cámaras y otros dispositivos conectados. En nuestro artículo Dime qué malware tienes y te diré a qué botnet perteneces explicábamos cómo el software malicioso o malware mantiene la comunicación con una infraestructura de mando y control, conocida como C2, y recibe instrucciones de quien opera la botnet.

El valor de una botnet está en la coordinación. Un único dispositivo comprometido puede tener un impacto limitado, pero miles de dispositivos distribuidos entre países y redes distintas permiten repartir tareas y dificultar la identificación de una única fuente. Cada dispositivo aporta capacidad de proceso, conexión o acceso a determinados datos y servicios.

⚠️ No todas las botnets tienen las mismas capacidades. El malware que controla un router para generar tráfico de ataque no tiene por qué leer las contraseñas almacenadas en un portátil. Otras familias sí buscan robar información o instalar nuevas cargas maliciosas. El riesgo concreto depende del dispositivo, de sus permisos y del código utilizado.

En una botnet un dispositivo aporta valor por su conexión, su capacidad de proceso y las acciones que permite ejecutar a distancia.

Cuando el daño visible lo sufre otro: botnets y DDoS

Uno de los usos de una botnet es el ataque distribuido de denegación de servicio, o DDoS. El atacante puede utilizar muchos dispositivos para enviar tráfico hacia un servicio o una red hasta dificultar su funcionamiento o impedir el acceso de usuarios legítimos. El daño visible aparece en la web, la aplicación o la conexión de la empresa atacada; los dispositivos que generan parte del tráfico pueden pertenecer a personas que desconocen su participación.

En un DDoS, el volumen de tráfico importa, pero no explica por sí solo el impacto del ataque. Como explicamos al analizar la disponibilidad de los servicios digitales frente a los DDoS, un ataque puede saturar la conexión, agotar la capacidad de los sistemas que gestionan las comunicaciones o sobrecargar una aplicación. La respuesta debe adaptarse al punto de congestión: un firewall situado después de un enlace saturado no puede recuperar por sí solo la capacidad de ese enlace.

El tráfico también puede repartirse entre muchas direcciones de una misma red. En un ataque DDoS de tipo carpet bombing cada destino recibe un volumen relativamente bajo, pero la suma degrada la conectividad del conjunto. En estos casos, analizar únicamente una dirección IP puede ocultar el impacto real del ataque.

⚠️ Una botnet es una de las infraestructuras posibles para lanzar un DDoS, pero no todos los DDoS proceden de dispositivos infectados. Además, proteger el servicio que recibe el tráfico no elimina el compromiso de los dispositivos que lo generan. Son frentes relacionados, pero requieren medidas diferentes.

Un dispositivo comprometido puede participar en un ataque aunque el objetivo visible sea otro servicio.

Más allá del DDoS: credenciales, sesiones y punto de apoyo

Las botnets no se utilizan solo para DDoS. Según las capacidades del malware, un dispositivo comprometido puede distribuir mensajes no deseados (spam), descargar otros programas maliciosos, recopilar información o dar al atacante un punto de apoyo para avanzar. Nuestro artículo anterior sobre botnets describe, por ejemplo, el robo de credenciales y cookies de sesión y su posible repercusión en accesos empresariales.

Que un dispositivo forme parte de una botnet no implica automáticamente el robo de sus datos, una intrusión en la empresa ni la materialización de todos los riesgos posibles. Pero si ese dispositivo también accede al correo profesional, a aplicaciones corporativas o a una VPN, conviene investigar qué permisos y sesiones pudieron quedar expuestos.

⚠️ Esa revisión no debería limitarse a lo que el dispositivo almacena. A veces el atacante busca información; otras, capacidad de conexión, una identidad desde la que enviar mensajes o una puerta de entrada que pueda aprovechar después.

Un dispositivo comprometido puede aportar al atacante datos, conexión, identidad o accesos.

Indicadores, análisis y respuesta ante una posible infección

Vías de entrada más habituales

El origen de una infección suele depender del tipo de dispositivo y de su nivel de exposición:

En un ordenador, la infección puede llegar a través de una descarga maliciosa, una vulnerabilidad sin corregir o una aplicación no fiable.
En routers, cámaras u otros dispositivos expuestos a internet, el riesgo suele estar asociado a contraseñas predeterminadas, configuraciones inseguras, servicios innecesarios expuestos o firmware desactualizado.

⚠️ En nuestro repaso de botnets IoT, de Darlloz a Mirai, mostramos por qué los dispositivos IoT, a menudo olvidados después de instalarlos, resultan atractivos para los atacantes.

Señales que justifican una revisión

No existe una señal general que permita diagnosticar con certeza una botnet. Un consumo de red inusual, cambios de configuración o un rendimiento anómalo justifican revisar el dispositivo, pero pueden tener otras explicaciones; su ausencia tampoco descarta una infección.

Una revisión inicial debería combinar actualización, análisis y control de accesos:

Actualizar el sistema operativo, las aplicaciones y, cuando corresponda, el firmware del dispositivo desde fuentes oficiales o la web del fabricante.
Analizar el ordenador con herramientas de seguridad fiables y revisar las cuentas utilizadas desde él, especialmente si se han usado credenciales corporativas.
En routers y cámaras, comprobar la configuración, revisar si existen actualizaciones del fabricante y, si es necesario restaurarlos, seguir sus instrucciones y evitar credenciales predeterminadas.

Investigación en entornos empresariales

En entornos empresariales, la investigación debe correlacionar señales técnicas, operativas y humanas:

La telemetría del dispositivo, las conexiones de red, los registros de DNS y las alertas de seguridad ayudan a identificar procesos desconocidos, comunicaciones persistentes con infraestructura maliciosa o tráfico saliente que no encaja con la función del activo.
Los usuarios, equipos de soporte y responsables de seguridad necesitan criterios claros para escalar comportamientos anómalos o señales que se apartan del uso esperado.
En dispositivos o endpoints compatibles, una herramienta EDR puede facilitar el aislamiento y el análisis; en muchos componentes IoT, la visibilidad debe obtenerse desde la red y no desde el propio dispositivo.

⚠️ Antes de cerrar el incidente, la investigación debería delimitar qué dispositivos están afectados y comprobar si se han utilizado credenciales o accesos corporativos.

Reducir el riesgo de que un dispositivo sea reclutado

Para reducir la exposición al riesgo, conviene saber qué dispositivos están conectados y cuáles son accesibles desde internet. Mantener sistemas, aplicaciones y firmware actualizados, desactivar servicios que no se utilizan y cambiar las credenciales predeterminadas limita las oportunidades de infección.

En una empresa, el inventario permite además identificar dispositivos que han quedado fuera de los ciclos habituales de mantenimiento, como cámaras o routers instalados hace años.

Cuando se confirma el compromiso, la prioridad pasa a aislar el dispositivo y comunicar el incidente al equipo responsable. Después, hay que reconstruir la actividad del atacante y recuperar el activo de forma segura, siguiendo las indicaciones del fabricante cuando se trate de un dispositivo IoT. Si desde él se ha accedido a servicios corporativos también corresponde revisar esos accesos, cerrar las sesiones que puedan estar expuestas y cambiar las credenciales afectadas desde un entorno de confianza.

⚠️ Un dispositivo comprometido puede mantener su apariencia de normalidad mientras un tercero aprovecha su conexión, su capacidad de proceso o sus accesos.

En ese análisis, conviene comprobar qué acciones se han ejecutado desde él y si han afectado a otros dispositivos, servicios o personas. Ese es el otro trabajo del ordenador que no se ve en su pantalla.

______