Cómo Saber Si Tu Computadora Tiene Virus (2026)

Abre el Administrador de Tareas con Ctrl+Shift+Esc, haz clic en la columna CPU para ordenar por uso. Si tu CPU está al 80-100% sin nada visiblemente corriendo, vale la pena investigar. Un cliente llamó porque su Dell de tres años se había vuelto “inutilizablemente lenta” — ya había pedido un SSD nuevo convencido de que el disco estaba muriendo. Abrimos el Administrador de Tareas y encontramos “WindowsUpdateService.exe” usando 94% de su CPU. Ese no es un proceso real de Windows. Windows Update corre a través de svchost.exe, no un ejecutable independiente con ese nombre. Era un criptominero que había estado corriendo durante cuatro meses. Lo matamos, ejecutamos Malwarebytes, encontramos siete archivos infectados más, los limpiamos todos. La computadora corrió como nueva. Canceló la orden del SSD.

Alrededor del 35% de las máquinas infectadas que limpiamos tienen criptomineros. La mayoría de los dueños pensaban que su PC simplemente estaba envejeciendo.

Administrador de Tareas

La mayoría de los procesos en el Administrador de Tareas son inofensivos. “System” y “System Idle Process” se supone que estén ahí. “Antimalware Service Executable” es Windows Defender escaneando — hace picos por 10-20 minutos y luego baja. Múltiples instancias de svchost.exe son normales. SearchIndexer.exe consume recursos en máquinas con muchos archivos. Si Chrome está usando 3 GB a través de 40 pestañas, eso es Chrome, no malware.

Lo que debería preocuparte es cualquier cosa que imita un proceso real de Windows pero tiene el nombre ligeramente mal. Personalmente he visto “svch0st.exe” con un cero donde debería ir la O. “csrrs.exe” con dos R cuando el real tiene una. “lsas.exe” haciéndose pasar por lsass.exe. “RuntimeBroker32.exe” agregando “32” a un nombre legítimo. Los autores de malware saben que nadie memoriza los nombres de los procesos.

Clic derecho en cualquier proceso sospechoso, Abrir ubicación del archivo. Los procesos legítimos de Windows viven en C:\Windows\System32. Si el archivo está en AppData, una carpeta Temp, o un directorio con números aleatorios — eso no está bien. También revisa Propiedades, pestaña Firmas digitales. Los procesos reales de Windows están firmados por “Microsoft Windows.” Ninguna firma en un proceso usando CPU significativo es una señal de alerta. Si no estás seguro de algo, copia el nombre del archivo y búscalo en virustotal.com — lo verifica contra más de 70 motores antivirus.

Si el Administrador de Tareas muestra CPU alto pero nada obvio consumiéndolo, esa guía cubre los escenarios específicos de svchost y WMI. Y si la lentitud llegó gradualmente durante meses con el Administrador de Tareas luciendo normal, casi seguro no es virus — es antigüedad, programas de inicio acumulados, o un disco muriendo, y nuestra guía de velocidad maneja eso.

Tres Escaneos

Ejecutar Windows Defender solo y darlo por terminado es revisar un cuarto y declarar toda la casa limpia. Este es el enfoque que uso en cada máquina.

Microsoft Defender Offline primero — viene incluido en Windows. Abre Seguridad de Windows, Protección contra virus y amenazas, Opciones de examen, Examen de Microsoft Defender Offline, Examinar ahora. La computadora reinicia en un entorno reducido y escanea antes de que cargue el sistema operativo completo. El malware que se esconde mientras Windows corre es capturado porque no puede ejecutarse en este entorno. Toma unos 15 minutos.

Malwarebytes gratuito desde malwarebytes.com después. Escaneo completo del sistema, no escaneo rápido. La razón de combinarlo con Defender es que Malwarebytes captura lo que Microsoft deliberadamente ignora — secuestradores de navegador, paquetes de adware, programas potencialmente no deseados. Defender los clasifica como “técnicamente no son virus” y se encoge de hombros. Ve directamente a malwarebytes.com para la descarga — el primer resultado de Google ha sido un anuncio patrocinado de una versión falsa más de una vez. Pero no dejes Malwarebytes corriendo en tiempo real junto con Defender; dos scanners monitoreando cada acceso a archivos simultáneamente paralizan la máquina. Instala, escanea, cierra.

HitmanPro de hitmanpro.com es la tercera pasada. Ni siquiera se instala — corre como ejecutable portátil usando análisis conductual basado en la nube en vez de firmas locales. Detecta amenazas más nuevas que los otros dos aún no han catalogado. El más lento pero captura las infecciones sigilosas.

Si los tres salen limpios, la máquina está limpia. Si alguno encuentra algo, remuévelo y ejecuta los tres de nuevo para confirmar.

Qué Hacer Si los Escaneos Encontraron Algo

La mayoría de las veces el scanner pone en cuarentena automáticamente — el archivo queda bloqueado donde no puede ejecutarse. Déjalo en cuarentena una semana. Si nada se rompe, elimínalo. Si un programa deja de funcionar, el archivo “infectado” podría haber sido un falso positivo.

Para infecciones obstinadas que sobreviven o siguen regresando, arranca en Modo Seguro y escanea de nuevo. Mantén Shift mientras haces clic en Reiniciar, Solucionar problemas, Configuración de inicio, presiona 4. El Modo Seguro carga drivers mínimos para que los ganchos de inicio del malware no puedan ejecutarse. Si la infección sigue regresando después de escanear en Modo Seguro, estás lidiando con algo incrustado más profundo de lo que alcanzan los scanners de consumidor — a ese punto una reinstalación limpia de Windows es la solución realista, o nuestra guía completa de eliminación de malware cubre la limpieza manual de registro y Programador de Tareas para infecciones persistentes.

Confirmando Que Se Fue

Abre el Administrador de Tareas de nuevo, pestaña Rendimiento. En reposo sin apps abiertas, el CPU debería estar al 2-10%, el disco al 0-5% una vez que termina el mantenimiento post-arranque. Revisa la pestaña Inicio por cualquier cosa nueva que no estaba antes. Abre el Visor de Eventos (Win+R, eventvwr.msc, Registros de Windows, Aplicación) y desplázate por las entradas recientes — busca errores repetidos de la misma fuente a la misma hora cada día, que es señal de malware comunicándose con su servidor en un horario.

Dale tres días completos antes de declarar victoria. Algunas infecciones contactan su servidor de comando cada 24-48 horas para descargarse de nuevo. Si la máquina se mantiene limpia durante un fin de semana largo con uso normal de recursos, estás genuinamente libre. Si tuviste algún tipo de robador de información — o no estás seguro qué tipo era — cambia contraseñas de correo, banco, y cualquier cosa sensible desde un dispositivo diferente, y revisa los estados de cuenta bancarios de los últimos meses. Si la infección sigue regresando o los tres scanners dicen limpio pero la máquina sigue actuando raro, podemos ejecutar herramientas de grado empresarial remotamente que capturan lo que las gratuitas no.