Autor: caeddeka

Publicado el

Apps se instalan solas en Android: señales de malware y cómo detenerlo

Apps se instalan solas en Android

Si en tu Android se instalan apps sin permiso, no es normal. A veces empieza “suave” (aparece una app rara, publicidad, permisos extraños) y luego escala: apps bancarias falsas, robo de cuentas o control remoto. La buena noticia: en la mayoría de casos puedes identificar la causa rápido y cortar el origen sin hacer un “formateo” inmediato.

Lo que vas a lograr en este bloque:

  • Identificar por qué se instalan apps solas (la causa real, no el síntoma).
  • Detectar si el problema viene por APK/“fuentes desconocidas”, Accesibilidad, adware o una app “administradora”.
  • Tener un diagnóstico claro para aplicar la limpieza correcta en el siguiente bloque (sin perder tiempo).

Advertencia anti-estafa: si te salió un popup que dice “virus detectado” y te manda a instalar un “antivirus milagro”, no lo hagas. Google Play Protect ya existe y es integrado; además, analiza apps de alto riesgo instaladas desde navegador o mensajería.
Guía oficial de Google Play Protect.

Por qué se instalan apps solas en Android (las causas más comunes)

1) “Instalar apps desconocidas” activado (APK o instalación desde navegador/archivos)

Esto pasa cuando algún navegador, gestor de archivos o app de mensajería tiene permitido instalar APKs. Con ese permiso, basta un clic engañoso para que el teléfono acepte instalaciones fuera de Google Play.

2) Abuso del permiso de Accesibilidad (la causa más peligrosa)

El permiso de Accesibilidad fue creado para ayudar a personas con discapacidad, pero también da capacidades muy amplias (leer pantalla, pulsar botones, activar acciones). Por eso, malware real lo ha abusado para instalar apps adicionales o hacer acciones “en tu nombre”.
Ejemplo documentado por Zscaler. Google también menciona que Play Protect evalúa apps que buscan permisos sensibles como Accesibilidad (por su uso en fraude/robo de identidad).
Referencia (Google).

3) Adware (publicidad agresiva que te empuja a instalar “cosas”)

El adware no siempre “instala solo” de forma literal: muchas veces te bombardea con pantallas de instalación, “actualizaciones” falsas o botones engañosos. Terminas instalando apps sin darte cuenta de cuándo aceptaste.

4) Apps maliciosas que roban datos o fuerzan actividades fraudulentas

Las apps maliciosas pueden ir desde robo de datos hasta uso del dispositivo para actividades fraudulentas. INCIBE (autoridad en ciberseguridad en España) resume este tipo de riesgos y por qué conviene actuar rápido.
Artículo de INCIBE.

Matriz rápida: síntoma → causa probable (para no perder tiempo)

  • Aparecen apps con nombres genéricos (Cleaner, Booster, Security, Update) → adware o “antivirus falso”.
  • Te pide Accesibilidad para “limpiar”, “proteger”, “optimizar” → alto riesgo (posible control/acciones automáticas).
  • Se desactiva Play Protect o “no funciona” → intento de quitar defensas.
  • Se instalan apps justo después de abrir un link (WhatsApp/SMS/Telegram) → APK/instalación desde mensajería/navegador.
  • Te salen anuncios fuera del navegador → adware (a veces viene “pegado” a una app reciente).
  • No puedes desinstalar una app o se “reactiva” → puede tener permisos de administrador o accesibilidad.

Si te identificaste con 2 o más puntos, trátalo como sospecha real de malware (no como “bug”).

3 pruebas rápidas (sin apps raras) para confirmar dónde está el origen

Prueba 1: revisa “instaladas recientemente” (la pista más directa)

Entra a Google Play, ve a administrar apps y ordena por “instaladas recientemente”. Si ves una app que no recuerdas, apunta su nombre. No la abras “para ver qué es”.

Prueba 2: ¿ocurre solo cuando navegas o incluso sin tocar nada?

  • Solo navegando: puede ser adware del navegador, notificaciones web o redirecciones.
  • Incluso con pantalla bloqueada / sin usarlo: más probable app con permisos agresivos (accesibilidad/admin) o malware.

Prueba 3: identifica si Play Protect está trabajando o si lo “apagaron”

Play Protect escanea apps y ayuda a prevenir instalaciones dañinas; Google lo describe como defensa integrada que se adapta constantemente.
Descripción oficial (Google Developers).

Si Play Protect aparece desactivado o con errores, es una señal importante (no definitiva, pero sí común cuando hay intento de manipulación de seguridad).

Qué NO hacer (porque empeora el problema)

  • No instales “antivirus” desde enlaces de popups o páginas raras.
  • No otorgues Accesibilidad a apps que prometen “limpiar”, “acelerar”, “mejorar batería” si no son claramente confiables.
  • No entres tus claves bancarias si sospechas malware (cambia contraseñas desde otro dispositivo primero).
  • No ignores apps que no se pueden desinstalar: eso suele indicar permisos elevados.

Enlaces útiles dentro del sitio (para avanzar por el mismo camino)

Siguiente paso: en el siguiente bloque pasamos a la limpieza práctica: cortar permisos peligrosos (Accesibilidad/Admin), desactivar instalaciones desconocidas, usar Play Protect correctamente, desinstalar lo que te infectó y, si hace falta, usar modo seguro sin capturas ni procesos eternos.

Cómo detenerlo y limpiar tu Android (sin perder tiempo ni caer en “soluciones” falsas)

Ahora vamos a lo práctico. La idea no es “probar de todo”, sino hacer un plan con lógica: cortar permisos → bloquear instalaciones → limpiar apps sospechosas → verificar cuentas. En la mayoría de casos, con esto el problema se detiene sin tener que resetear el teléfono.

Antes de empezar (30 segundos que valen oro): si sospechas que te entraron a cuentas (Gmail, redes, banco), haz este movimiento desde otro dispositivo limpio: cambia contraseñas y cierra sesiones. Si lo haces desde el celular infectado, el malware podría capturar lo nuevo.

1) Corta la “puerta principal”: Accesibilidad y Administradores del dispositivo

Cuando las apps se instalan solas o no se dejan desinstalar, casi siempre hay 2 permisos detrás:

  • Accesibilidad (para tocar botones/leer pantalla)
  • Administrador del dispositivo (para impedir desinstalación y controlar ajustes)

1A) Revisa y desactiva Accesibilidad sospechosa

En Ajustes, busca Accesibilidad y revisa Servicios instalados. Si ves algo que no reconoces (o que suena a “Cleaner”, “Security”, “Update”, “Boost”), desactívalo.

Cómo decidir rápido si un servicio es sospechoso:

  • No recuerdas haberlo activado
  • Te lo pidió una app “optimizadora” o una alerta de virus
  • Se activó justo cuando empezaron los síntomas

Si dudas: desactívalo temporalmente y observa si se detienen instalaciones/anuncios. El objetivo es cortar control remoto primero.

1B) Revisa “Administradores del dispositivo”

Busca en Ajustes algo como Administración del dispositivo / Apps de administrador. Si hay una app desconocida con privilegios, desactívala. Esto suele ser requisito para poder desinstalarla después.

2) Bloquea instalaciones fuera de Google Play (la otra puerta típica)

Muchos casos pasan porque algún app tiene permiso de “instalar apps desconocidas”. Esto permite que un APK entre por navegador, mensajería o un gestor de archivos.

2A) Desactiva “Instalar apps desconocidas”

En Ajustes, busca Instalar apps desconocidas (a veces está dentro de Seguridad o Apps especiales). Revisa quién tiene permiso:

  • Chrome
  • Gestor de archivos
  • WhatsApp/Telegram (dependiendo del modelo)
  • Apps de descargas

Acción: apaga ese permiso para todo lo que no sea estrictamente necesario. Para la mayoría de personas, debería estar apagado siempre.

3) Activa y ejecuta Google Play Protect correctamente

Play Protect es la capa integrada de Google que analiza apps y ayuda a identificar comportamiento riesgoso. No es mágico, pero es una primera barrera real y oficial.

Acción: entra a Play Protect y ejecuta un escaneo. Si marca una app como dañina, no la abras “para comprobar”. Procede a eliminarla.

Si Play Protect no funciona o aparece raro: eso puede ser una señal adicional. En ese caso revisa este artículo interno:

4) Desinstala las apps sospechosas (en el orden correcto)

La regla es: primero quitas privilegios (Accesibilidad/Admin), después desinstalas. Si intentas desinstalar antes, muchas apps maliciosas se resisten.

4A) Identifica la app “paciente cero”

Usa lo que viste en “instaladas recientemente” y tu memoria: ¿qué instalaste justo antes de que empezara todo? Muchas veces el origen es una app que parecía útil (linterna, limpiador, wallpapers, teclados, “optimizador de batería”).

4B) Desinstala y reinicia

Desinstala las sospechosas y reinicia el teléfono. Luego verifica si:

  • dejó de instalar apps
  • desaparecieron anuncios
  • ya no se calienta ni consume datos raro

5) Si no se deja desinstalar: usa Modo Seguro (sin capturas)

El Modo Seguro inicia Android con apps básicas, desactivando la mayoría de apps de terceros temporalmente. Esto suele permitir desinstalar malware que “se defiende”.

Qué hacer:

  • Reinicia en Modo Seguro (varía por marca, pero suele ser mantener presionado “Apagar” y seleccionar “Modo seguro”).
  • Una vez dentro, vuelve a intentar desinstalar la app sospechosa.
  • Reinicia normal y verifica síntomas.

Tip: si al entrar en Modo Seguro el problema desaparece (no hay anuncios/instalaciones), confirmas que la causa era una app de terceros.

6) Verifica señales de spyware y apps ocultas

Si sigues con dudas, revisa si hay apps ocultas o con nombres raros. Muchos spyware no tienen icono visible.

Señales fuertes: micrófono/cámara activándose, permisos raros, consumo de batería/datos extremo, teclado “extraño”.

7) Protege tus cuentas (porque el malware busca algo más que anuncios)

Cuando hay instalaciones automáticas, el objetivo puede ser:

  • mostrar anuncios (adware)
  • robar cuentas (Gmail, Facebook, WhatsApp)
  • fraude bancario

Acción mínima recomendada:

  • Cambia contraseña de tu Google desde otro dispositivo.
  • Activa 2FA si no lo tenías.
  • Revisa “dispositivos conectados” y cierra sesiones extrañas.

8) Último recurso: copia lo importante y restablece (solo si persiste)

Si después de todo siguen apareciendo apps solas, la opción más segura es un restablecimiento. No es lo primero, pero es lo más confiable cuando hay reinfección persistente.

Antes de resetear:

  • Respalda fotos/documentos.
  • No restaures apps sospechosas después (ese es el error que trae el problema de vuelta).

Checklist final: cómo saber si ya estás fuera de peligro

  • No se instalan apps nuevas sin tu permiso
  • Play Protect funciona y escanea normal
  • No hay permisos raros en Accesibilidad/Admin
  • Se redujo consumo anormal de batería/datos
  • No aparecen anuncios fuera del navegador

Si quieres cerrar el círculo y evitar reinfección, el siguiente contenido natural dentro del silo es:

Publicado el

WordPress redirige a páginas raras: causas reales y cómo detectar si es hack o configuración

wordpress redirige a paginas

Que tu WordPress te mande a páginas raras (casino, “tu iPhone tiene virus”, premios falsos, descargas extrañas) no es “un bug cualquiera”. Casi siempre es una de estas 3 cosas: inyección en tu sitio (tema/plugin/JS), reglas en el servidor (.htaccess) o problema fuera de WordPress (DNS/Cloudflare).

En este bloque vas a lograr algo concreto: identificar el patrón exacto de la redirección y con eso saber en qué capa está el problema. Eso te ahorra horas y evita el típico error de “borré algo y volvió”.

Lo que vas a aprender a hacer en 10 minutos:

  • Confirmar cuándo ocurre la redirección (móvil, Google, incógnito, visitantes nuevos).
  • Distinguir si es un redirect de servidor (301/302) o un “salto” por JavaScript.
  • Definir la ruta correcta de solución sin romper tu web.

Alerta rápida: si un “soporte” te dice que instales un script, pegues código raro o pagues para “desbloquear” tu web, desconfía. Las redirecciones maliciosas viven de la urgencia.

Primero: confirma el patrón (esto define la causa)

Responde estas preguntas con total honestidad. No necesitas herramientas avanzadas; solo observar bien el comportamiento:

1) ¿Pasa solo en móvil o también en PC?

  • Solo móvil: suele ser inyección JavaScript que detecta el navegador móvil, o scripts de anuncios maliciosos.
  • En móvil y PC: puede ser .htaccess, plugin/tema comprometido o DNS si es global.

2) ¿Pasa solo en incógnito o a “visitas nuevas”?

  • Solo incógnito / visitas nuevas: típico de inyecciones que se activan 1 vez por sesión (para que tú no lo notes fácil).
  • Siempre, sin excepción: suele ser redirección de servidor (.htaccess/DNS) o un plugin muy agresivo.

3) ¿Pasa solo cuando entras desde Google (no desde acceso directo)?

  • Solo desde Google: suena a cloaking o SEO spam (el sitio se comporta “normal” si entras directo, pero “malo” si vienes de buscador).
  • También entrando directo: más probable .htaccess/JS/plugin.

4) ¿Pasa en todo el sitio o solo en algunas URLs?

  • Todo el sitio redirige: piensa primero en .htaccess, configuración del servidor o DNS.
  • Solo algunas páginas: suele ser tema/plantilla, un plugin específico, o contenido inyectado en una página/post.

5) ¿La redirección ocurre “instantáneo” o después de 1–2 segundos?

  • Instantáneo (apenas cargas): más probable redirect de servidor (301/302) o DNS.
  • Después de 1–2 segundos: muchas veces es JavaScript inyectado (carga tu web y luego “salta”).

Matriz rápida: síntoma → causa probable → dónde mirar después

  • Solo móvil → JavaScript/ads injection → revisar tema (header/footer) y plugins recientes.
  • Solo desde Google → cloaking/SEO spam → revisar plugins, tema y señales de URLs spam.
  • Toda URL redirige → .htaccess o DNS → mirar .htaccess y configuración de DNS/Cloudflare.
  • Solo algunas URLs → plantilla/post/plugin → revisar plugins y contenido inyectado en esas páginas.
  • Solo incógnito / visitas nuevas → malware “selectivo” → revisar JS, plugins y archivos sospechosos.

Con esto ya deberías tener una sospecha fuerte de la capa responsable. Ahora vamos a confirmarlo con 3 pruebas simples.

Diagnóstico rápido: 3 pruebas simples para confirmar el origen

Prueba 1: incógnito + cambia de red (Wi-Fi vs datos móviles)

Abre tu web en incógnito y prueba:

  • En tu Wi-Fi
  • Con datos móviles (o desde el celular compartiendo internet)

Cómo interpretar:

  • Si cambia según la red, puede haber cache/CDN o incluso algo a nivel DNS/ISP (menos común, pero pasa).
  • Si es igual en todas, el problema está en tu sitio (tema/plugin/.htaccess) o DNS global.

Prueba 2: ¿es un redirect “real” (servidor) o un “salto” por JavaScript?

Observa el comportamiento:

  • Redirect de servidor: la página rara abre casi al instante, sin que veas tu web “cargar”.
  • Redirect por JavaScript: ves tu web cargar 1–2 segundos y luego te manda a otro sitio.

Por qué importa: si es servidor, casi seguro miras .htaccess / reglas / DNS. Si es JS, miras tema, plugins y scripts.

Prueba 3: desactiva “lo que más suele mentir”: caché y optimización (temporal)

Muchos hacks se esconden “detrás” de cachés o minificadores. Si tienes plugins de caché/optimización, el diagnóstico suele mejorar si los desactivas temporalmente (solo para probar).

  • Si al desactivar caché/optimización el problema desaparece o cambia, puede haber inyección en scripts minificados o cacheados.
  • Si no cambia nada, apunta más a .htaccess, plugin/tema comprometido o DNS.

Nota: no es la solución final; es una prueba para acotar la causa.

Qué NO hacer (porque empeora o tapa el problema)

  • No restaures cualquier backup “a ciegas”. Si no cierras la puerta (plugin vulnerable/credenciales), vuelve.
  • No borres archivos al azar. Puedes romper el sitio y el backdoor seguir vivo.
  • No instales 5 plugins de seguridad desesperado. A veces solo agregas complejidad y conflictos.
  • No asumas que “si a mí no me redirige, ya está bien”. Mucho malware es selectivo (móvil, visitas nuevas, desde Google).

Idea clave: tu misión no es “parchar un síntoma”. Tu misión es descubrir qué capa está empujando la redirección. En el siguiente bloque pasamos a soluciones por escenario (servidor/.htaccess, JS/tema, plugins, cloaking y el caso DNS).

Lecturas relacionadas (para completar el cluster)

Soluciones por escenario: cómo detener las redirecciones sin romper tu WordPress

Ya con el patrón identificado, ahora sí puedes ir directo a la capa correcta. Este bloque está armado para que avances como “árbol de decisión”: si tu síntoma coincide, haces ese bloque y validas. Si no coincide, pasas al siguiente.

Meta realista: dejar tu sitio sin redirecciones y sin “puertas abiertas”. Si solo quitas el síntoma pero no el origen, suele volver.

Escenario A: toda la web redirige (o redirige instantáneo)

Cuando todas las URLs redirigen o el salto es inmediato, normalmente es:

  • .htaccess alterado (Apache/LiteSpeed), o
  • reglas del servidor (Nginx), o
  • un cambio en DNS/Cloudflare (lo cubrimos como escenario D).

A1) Revisa y “desinfecta” .htaccess (si existe)

En muchos hostings, el archivo .htaccess está en la raíz del sitio (donde está wp-config.php). Lo que buscas son señales como:

  • Bloques enormes con texto raro que no reconoces
  • Reglas de redirección a dominios extraños
  • Código ofuscado o líneas muy largas sin explicación

Acción segura: no borres todo a lo loco. Haz esto:

  • Renombra el archivo a .htaccess.bak (así puedes volver atrás).
  • Genera uno limpio guardando los enlaces permanentes desde WordPress (si puedes entrar) o restaurando el bloque estándar.

Validación: prueba en incógnito y desde móvil. Si el redirect desaparece, el problema estaba en reglas a nivel servidor.

Si tu web se rompe sin .htaccess: significa que sí dependías de reglas válidas (permalinks). En ese caso, restaura lo básico y elimina solo lo sospechoso.

Escenario B: redirige después de 1–2 segundos (parece “salto”)

Este es el patrón más típico de JavaScript inyectado. La web carga normal, y luego te manda a otro lado (muchas veces solo a móviles o visitas nuevas).

B1) Entra por el lado más probable: tema (header/footer/functions)

La inyección suele vivir en:

  • header.php y footer.php
  • functions.php
  • un archivo script agregado recientemente

Qué buscar:

  • Scripts que cargan desde dominios que no conoces
  • Cadenas largas raras, texto ofuscado, llamadas a eval o base64_decode
  • Scripts insertados “al final” del footer

Acción segura: si sospechas del tema:

  • Temporalmente cambia a un tema estándar (si tienes acceso) para probar.
  • Si el redirect desaparece al cambiar de tema, el problema está en el tema (o en un child theme).

Consejo: si usas un tema nulled/pirata, asume que es culpable hasta demostrar lo contrario. Es una de las causas más repetidas.

B2) Revisa plugins que inyectan scripts

Muchos redirects vienen de plugins de:

  • popups / publicidad / monetización
  • optimización/minificación
  • scripts de header/footer
  • “security scanners” dudosos

Prueba rápida: desactiva temporalmente los plugins más relacionados con scripts/caché. Si desaparece, reactiva uno por uno hasta encontrar el culpable.

Validación: siempre prueba en móvil + incógnito. Muchos hacks están diseñados para no afectarte a ti “todo el tiempo”.

Escenario C: redirige solo en algunas páginas (no en todo el sitio)

Cuando el redirect ocurre solo en ciertas URLs, normalmente es:

  • contenido inyectado en esa página/post
  • una plantilla específica del tema
  • un plugin que afecta solo cierto tipo de contenido

C1) Revisa si hay scripts “pegados” en el contenido

Esto pasa más de lo que parece, sobre todo si el sitio fue comprometido vía credenciales y el atacante editó páginas.

  • Revisa el editor de la página afectada (incluyendo widgets/HTML personalizado si usas constructor).
  • Busca bloques HTML extraños, iframes ocultos o scripts insertados.

Tip: si el ataque es “SEO spam”, a veces crean páginas nuevas y tú ni te enteras. Por eso conviene revisar la lista de páginas recientemente modificadas.

C2) Revisa la plantilla que usa esa página

Si solo falla un tipo de página (por ejemplo, productos o posts), puede ser una plantilla específica (single.php, page.php, templates del builder, etc.).

Acción práctica: cambia temporalmente a un tema estándar para confirmar si el problema es del tema. Si desaparece, ya acotaste el origen.

Escenario D: tu WordPress “se ve limpio” pero igual redirige (DNS/Cloudflare)

Este caso confunde a cualquiera: revisas WordPress, desactivas plugins, cambias tema… y aun así redirige. Aquí debes pensar en DNS hijacking o cambios en el proxy/CDN.

D1) Señales de DNS/Cloudflare comprometido

  • La redirección pasa incluso con un HTML simple
  • El hosting dice “todo ok”, pero los visitantes siguen redirigiendo
  • La redirección cambia según la región/red

Qué hacer en simple: verifica que tus DNS apunten al hosting correcto y que nadie haya cambiado tu zona. Este tema lo cubrimos a fondo en:

Regla: si tienes Cloudflare, revisa acceso a la cuenta y cambia contraseñas/2FA. Muchos ataques no tocan WordPress: tocan la capa DNS/CDN.

Checklist final de limpieza (para que no vuelva)

Una vez que el redirect se detuvo, haz este cierre:

  • Actualiza WordPress core, plugins y tema (todo lo que se quedó atrás es riesgo).
  • Elimina plugins/temas que no uses (incluso inactivos).
  • Cambia contraseñas otra vez si encontraste admin desconocidos o backdoors (porque pudieron copiar credenciales).
  • Revisa uploads: archivos .php dentro de wp-content/uploads son sospechosos en la mayoría de sitios.
  • Activa medidas de hardening básicas (2FA admin, deshabilitar editor, limitar intentos).

Si tu caso fue más amplio (SEO spam, backdoors, reinfección), conviene complementar con:

Lecturas relacionadas (para reforzar el cluster)

Cuando el problema no está “dentro” de WordPress: DNS, Cloudflare y verificación final

Si ya desactivaste plugins, cambiaste de tema, revisaste .htaccess y aun así hay redirecciones… muchas veces el atacante no tocó WordPress: tocó la capa de dominio/DNS o la cuenta de Cloudflare. Este escenario es más común de lo que parece porque, cuando controlan DNS, pueden redirigir tráfico sin dejar “huellas” claras en tus archivos.

En esta sección vas a lograr:

  • Detectar si el redirect viene por DNS/Cloudflare.
  • Asegurar tu dominio para que no lo vuelvan a tomar.
  • Hacer una verificación final que realmente confirme que quedó limpio.

Señales fuertes de DNS hijacking o Cloudflare comprometido

  • La redirección ocurre incluso si subes una página HTML simple (sin WordPress) al hosting.
  • A ti te funciona “a veces”, pero a visitantes nuevos o desde otra red los manda a otro sitio.
  • El hosting te dice que no ve malware, pero el problema persiste.
  • Usas Cloudflare y ves reglas/redirects que no recuerdas haber creado.

Idea clave: cuando DNS/Cloudflare está comprometido, puedes limpiar WordPress 10 veces… y seguirá pasando.

Checklist de rescate en DNS (sin pasos con capturas)

1) Asegura el correo dueño del dominio (primero)

Muchos “robos” de dominio empiezan por el correo del dueño. Si el atacante controla el email, puede resetear accesos del registrador y Cloudflare.

  • Cambia la contraseña del correo.
  • Activa 2FA (siempre).
  • Revisa sesiones/dispositivos desconocidos.

2) Entra al registrador del dominio y revisa cambios recientes

  • Verifica que el dominio siga en tu cuenta (y que el email sea el tuyo).
  • Revisa si cambiaron DNS (nameservers) o registros (A, CNAME, etc.).
  • Activa 2FA del registrador y cambia contraseña.

Si ves nameservers que no reconoces, eso explica casi cualquier redirección “fantasma”. Devuélvelos a los correctos y refuerza seguridad.

3) Si usas Cloudflare: revisa 3 zonas “típicas de ataque”

En Cloudflare, los atacantes suelen tocar:

  • Rules / Redirect Rules: reglas que envían visitantes a otro dominio.
  • DNS: A/CNAME apuntando a otro servidor.
  • Workers: scripts que interceptan tráfico (si tu plan lo permite).

Acción práctica: si encuentras una regla o Worker que no configuraste, desactívalo y cambia credenciales + activa 2FA.

Referencia oficial (Cloudflare WAF/seguridad en general):

Verificación final: cómo confirmar que realmente quedó resuelto

No te quedes con “parece que ya no redirige”. Los ataques modernos son selectivos (solo móvil, solo visitas nuevas, solo desde Google). Haz estas comprobaciones:

1) Prueba cruzada en 4 condiciones

  • Móvil con datos (sin Wi-Fi)
  • PC en incógnito
  • Otra red (por ejemplo, desde el teléfono de un familiar)
  • Entrando desde Google (si tu sitio está indexado)

Si falla en una sola condición, todavía hay una capa comprometida (JS selectivo, caché/CDN, DNS o cloaking).

2) Si tu sitio aparece “peligroso” en navegadores o Google

Cuando ya limpiaste, revisa el reporte de seguridad en Search Console. Si había advertencias, ahí verás el estado.

Tip importante: si el hack fue SEO spam, además de limpiar, debes asegurarte de que las URLs falsas devuelvan 404/410 y no se sigan generando.

3) Limpia cachés después de corregir (para no “perseguir fantasmas”)

  • Caché de tu plugin (si usas)
  • Caché del servidor/hosting (si aplica)
  • Caché/CDN (Cloudflare)

Esto evita que tú veas “una versión vieja” mientras los visitantes ven otra.

Prevención para que no vuelva (lo mínimo que sí marca diferencia)

1) Hardening básico en WordPress

Guía oficial recomendada:


Hardening WordPress (oficial)

  • 2FA para administradores
  • Eliminar plugins/temas que no uses
  • Actualizar todo (core/plugins/tema) con disciplina
  • Evitar temas/plugins nulled

2) Seguridad del dominio (la capa que más duele si cae)

  • 2FA en el registrador
  • Contraseña única y fuerte
  • Correo del dominio con 2FA
  • Revisar accesos y cambios periódicamente

Una frase que te ahorra problemas: si el atacante controla tu dominio, controla tu tráfico. Por eso esta capa vale oro.

Lecturas relacionadas (para completar el cluster)

Publicado el

WordPress hackeado: qué hacer para recuperarlo, limpiarlo y evitar que se reinfecte

WordPress hackeado

Si tu web en WordPress empezó a redirigir a páginas raras, aparecen URLs tipo casino/medicinas en Google, ves usuarios admin que no creaste o tu hosting te avisó de malware, lo más probable es que tu sitio esté comprometido. Y aquí va la verdad incómoda: en WordPress el problema casi nunca es “un archivo suelto”, sino una puerta abierta (plugin vulnerable, credenciales filtradas, tema nulled, acceso FTP expuesto) que permite reinfección.

En este bloque vas a lograr 3 cosas concretas:

  • Confirmar si realmente es un hack (y qué tipo).
  • Cortar el acceso del atacante antes de “limpiar”.
  • Preparar el terreno para una limpieza segura sin romper tu sitio.

Importante: no te apures a instalar “plugins milagro” ni a borrar archivos al azar. La mayoría de reinfecciones ocurren porque la gente limpia “por encima” sin cerrar la vía de entrada.

Señales típicas de un WordPress hackeado (y qué significan)

Estas son las señales más comunes, con la interpretación más probable:

  • Redirecciones (solo a veces, o solo desde celular): suele ser inyección en JavaScript, .htaccess alterado o malware que detecta el user-agent.
  • SEO spam (URLs raras indexadas que tú no creaste): casi siempre hay páginas generadas o código inyectado que sirve contenido spam a Google.
  • Usuarios admin desconocidos o cambios de permisos: indica acceso a wp-admin o creación de cuentas vía backdoor.
  • Archivos modificados (wp-config.php, index.php, functions.php): típico de backdoors y persistencia.
  • Alertas del hosting, bloqueo o “malware detected”: el servidor encontró patrones (a veces reales, a veces falsos positivos, pero hay que revisar).
  • Sitio marcado como peligroso en navegadores: puede ser malware real o inyección que dispara listas de seguridad.

Si tienes 2 o más de estas señales, lo correcto es asumir “compromiso” y ejecutar el plan de contención.

Antes de limpiar: contención urgente (para que no te sigan metiendo cosas)

Este paso es el que más gente se salta… y por eso el malware “vuelve” aunque creas que lo quitaste. La limpieza sirve de poco si el atacante sigue con acceso.

1) Pon el sitio en modo mantenimiento (temporal)

No necesitas complicarte: la idea es reducir daño y evitar que Google rastree contenido infectado mientras trabajas.

  • Si tienes un plugin de mantenimiento confiable ya instalado, úsalo.
  • Si no, lo mínimo es mostrar una página simple (aunque sea desde el hosting) mientras resuelves.

Tip práctico: si el hack está generando spam o redirecciones, no conviene dejar el sitio “vivo” horas mientras haces pruebas.

2) Cambia contraseñas críticas (en este orden)

Si el atacante entró por credenciales robadas, esto le corta el camino de vuelta.

  • Hosting/cPanel (o panel del proveedor)
  • FTP/SFTP
  • Base de datos (usuario DB)
  • WordPress Admin (todos los administradores reales)
  • Email asociado al dominio (muy importante: con esto resetean todo)

Regla: contraseñas largas y únicas. Si usas la misma en varios sitios, el problema se propaga.

3) Revisa usuarios administradores y elimina los desconocidos

Ve a Usuarios en WordPress (si puedes entrar) y busca:

  • Admins que no reconoces
  • Usuarios con nombres raros o correos desconocidos
  • Roles cambiados (un editor que ahora es admin)

Muy importante: antes de borrar, toma nota del usuario/correo para evidencia. A veces sirve para entender cómo entraron.

4) Revoca accesos “invisibles” (el clásico: llaves guardadas)

Si compartiste accesos con freelancers/agencias en el pasado, o usaste plugins de acceso remoto, asume que una credencial pudo filtrarse.

  • Cambia credenciales y elimina cuentas que ya no deberían existir.
  • Si hay cuentas FTP antiguas, bórralas o desactívalas.

Haz un respaldo “para evidencia” antes de tocar archivos

Suena raro, pero es clave: antes de limpiar, guarda una copia del estado actual. ¿Por qué?

  • Si rompes algo, puedes comparar y recuperar archivos críticos.
  • Si hay reinfección, puedes identificar qué volvió a aparecer.
  • Si necesitas soporte del hosting, ayuda tener evidencia.

Qué respaldar como mínimo:

  • La carpeta wp-content completa (plugins, themes, uploads).
  • La base de datos.
  • Archivos raíz: wp-config.php y .htaccess (si existen).

Consejo: guarda el backup fuera del servidor (tu PC o almacenamiento externo). Si lo dejas en el mismo hosting, no es “respaldo”, es otra copia vulnerable.

Identifica el “tipo de hack” (te ahorra horas en la limpieza)

Sin capturas y sin herramientas raras, puedes hacer un diagnóstico rápido:

  • Si hay redirecciones: sospecha de .htaccess, inyección en header/footer del tema, o scripts inyectados.
  • Si hay SEO spam indexado: sospecha de páginas/plantillas generadas y contenido servido a bots (a veces solo Google lo WordPress muestra).
  • Si hay admin desconocido: sospecha de credenciales filtradas, plugin vulnerable o backdoor.
  • Si el hosting detectó malware: puede estar en uploads, en plugins nulled, o en archivos de tema.

Deja esto listo porque en el siguiente bloque vamos a limpiar por capas (core, plugins/temas, uploads, backdoors) y luego a cerrar la puerta para que no vuelva.

Lecturas relacionadas para seguir (cluster WordPress)

Limpieza segura por capas (sin romper tu sitio)

Ahora sí: limpiar. La idea es hacerlo por capas para que no te quedes con “sensación de limpieza” mientras el backdoor sigue vivo. Si en algún punto encuentras algo demasiado raro, no borres a ciegas: primero renombra (por ejemplo, archivo.php → archivo.php.bak) y valida si el sitio vuelve a la normalidad.

Capa 1: WordPress core limpio (wp-admin y wp-includes)

Una forma muy efectiva de eliminar modificaciones al núcleo es reemplazar los archivos core por una copia limpia, manteniendo tu contenido y configuración.

  • Qué se reemplaza: carpetas wp-admin y wp-includes por versiones limpias.
  • Qué NO se toca: wp-content (tus temas, plugins, uploads) y wp-config.php.

Este enfoque se recomienda con frecuencia en soporte de WordPress (re-subir core limpio y reemplazar archivos raíz como wp-login.php excepto wp-config.php y .htaccess si lo usas).
Referencia (WordPress.org Support)

Por qué funciona: si te inyectaron cosas en archivos del core, se van de inmediato. Pero ojo: si la entrada fue por plugin vulnerable o credenciales, igual debes cerrar esas puertas (y ya lo hiciste en el bloque anterior).

Capa 2: Plugins y temas (la causa #1 real)

En la práctica, la mayoría de hacks de WordPress vienen por:

  • Plugins desactualizados con vulnerabilidades conocidas
  • Temas o plugins “nulled” (piratas) que traen backdoors
  • Plugins abandonados/inactivos que quedaron instalados

Plan rápido:

  • Elimina plugins/temas que no uses (incluso si están inactivos).
  • Actualiza todo lo que sí uses (core + plugins + tema).
  • Reinstala desde fuente oficial los plugins/temas críticos (descarga limpio y reemplaza).

Señal de que ibas por buen camino: al borrar un plugin “sospechoso”, desaparecen redirecciones, ventanas raras o scripts inyectados.

Capa 3: Backdoors escondidos (donde casi siempre se reinfecta)

Cuando un sitio “vuelve a infectarse” a los días, normalmente quedó un backdoor en uno de estos lugares:

  • wp-content/uploads/ con archivos .php camuflados (muy común).
  • mu-plugins (plugins “must-use”) si existe esa carpeta.
  • Archivos del tema: functions.php, header.php, footer.php.
  • Archivos raíz raros con nombres aleatorios (ej: wp-old.php, cache1.php).

Qué buscar (patrones típicos): textos como base64_decode, eval, cadenas largas ofuscadas, llamadas externas raras, y scripts que se “inyectan” en el HTML.

Ojo: no todo base64 es malware, pero en hacks reales suele aparecer junto con ofuscación y comportamiento extraño.

Capa 4: Redirecciones y “SEO spam” (si Google indexó basura)

Si tu problema es que WordPress redirige o se ven URLs spam en Google, revisa estos puntos clave:

  • .htaccess (si lo usas): busca reglas desconocidas, redirects raros o bloques enormes que no recuerdas.
  • Inyección JS en tema o plugins: scripts que cargan cosas externas o detectan bots.
  • Contenido servido solo a Google: a veces el spam no se ve cuando tú visitas normal, pero sí cuando rastrea un bot.

Después de limpiar, entra a Search Console y revisa el Security issues report (si Google detectó hack/malware):
Security issues report (Google Search Console)

Si quedaron URLs spam indexadas, puedes usar el reporte de Removals (ocultación temporal mientras arreglas definitivamente):
Removals report (Google)

Regla SEO importante: esas URLs spam deben terminar dando 404 o 410 o desaparecer de verdad; el removal ayuda, pero no reemplaza la limpieza real.

El punto crítico: evitar reinfección (la diferencia entre “arreglé” y “se arregló”)

Este es el tramo que define si tu web queda estable o si en 7 días vuelves al infierno.

1) Asegura el panel de WordPress (hardening básico)

WordPress tiene una guía oficial de hardening con prácticas recomendadas:
Hardening WordPress (oficial)

Acciones que suelen dar el mayor impacto con el menor esfuerzo:

  • Desactiva el editor de archivos desde el panel (evita que un intruso edite plugins/temas desde wp-admin).

En wp-config.php (idealmente cerca de otras constantes), añade:

define('DISALLOW_FILE_EDIT', true);
  • Activa 2FA para administradores (si usas plugin confiable).
  • Limita intentos de login (reduce brute force).

2) Revisa permisos de archivos y elimina “sobras”

  • Elimina plugins/temas que no uses.
  • Evita dejar backups viejos como .zip en la raíz del sitio (son un regalo para atacantes).
  • Si encuentras .php dentro de uploads sin razón clara, es altamente sospechoso.

3) Añade una capa WAF/CDN (cuando quieres dormir tranquilo)

Una capa WAF puede bloquear patrones de ataque comunes y ayudar a frenar explotación automática de vulnerabilidades.

Referencia general:
Cloudflare WAF (overview)
y documentación:
Cloudflare WAF Docs

Nota realista: un WAF no reemplaza actualizar plugins ni arreglar credenciales, pero sí reduce el “ruido” y ataques automáticos.

Validación final: cómo saber si quedó limpio

  • Tu sitio ya no redirige (prueba desde celular y modo incógnito).
  • No aparecen usuarios admin extraños.
  • No hay filtros raros de reenvío (si tienes emails asociados) ni cambios de configuración inesperados.
  • Search Console deja de mostrar alertas de seguridad (si existían).
  • El hosting deja de detectar malware (si te avisaba).

Consejo práctico: si limpiaste pero el hack regresa, no lo tomes como “mala suerte”: casi siempre quedó un backdoor o hay un plugin vulnerable que volvió a abrir la puerta.

Lecturas relacionadas (para profundizar sin canibalizar)

Publicado el

Gmail hackeado: cómo recuperar tu cuenta y echar al intruso (paso a paso seguro)

Gmail hackeado

Si sospechas que te hackearon Gmail, lo más importante es esto: actúa en orden. Mucha gente pierde horas “probando cosas” mientras el intruso sigue dentro (o deja un reenvío oculto para volver a entrar).

En esta guía vas a lograr:

  • Confirmar si hubo acceso sospechoso.
  • Expulsar dispositivos/sesiones desconocidas.
  • Recuperar tu cuenta con el flujo oficial (si ya no puedes entrar).
  • Blindar tu Gmail para que no te lo vuelvan a tomar.

Regla de oro: Google nunca te va a pedir tu contraseña por correo ni te va a pedir códigos de verificación por chat. Si alguien “de soporte” te pide códigos, es fraude.

Señales claras de que tu Gmail fue comprometido

  • Tu contraseña ya no funciona o te pide “crear”/configurar como si fuera una cuenta nueva.
  • Recibes alertas de inicio de sesión desde lugares/dispositivos que no reconoces.
  • Se enviaron correos que tú no escribiste (a tus contactos o a direcciones raras).
  • Hay cambios en tu teléfono de recuperación o correo alterno.
  • Aparecen filtros o reenvíos que tú no configuraste (táctica típica para seguir robando sin que lo notes).
  • Apps conectadas que no reconoces (extensiones, “herramientas”, apps con acceso a tu Google).

Si te identificas con 2 o más puntos, trátalo como urgente y sigue el checklist de abajo.

Si AÚN puedes entrar: checklist urgente para cortar el acceso

Hazlo en este orden. Está pensado para que el intruso pierda control rápido.

1) Abre la sección oficial de seguridad de tu cuenta

Desde aquí vas a ver alertas, dispositivos, accesos y opciones clave:


Seguridad de tu Cuenta de Google (panel oficial)

2) Cambia la contraseña (y evita “recicladas”)

  • Elige una contraseña larga y única (no la uses en Facebook, PayPal, etc.).
  • Si tu contraseña anterior era parecida a otras, asume que también están en riesgo.

Guía oficial para asegurar una cuenta comprometida:


Asegurar una Cuenta de Google hackeada o comprometida (Google)

3) Revisa “eventos de seguridad recientes” y marca lo que no fuiste tú

En el panel de seguridad, busca alertas como “nuevo inicio de sesión” o “cambio de configuración”. Si algo no cuadra, repórtalo como actividad no reconocida.

4) Expulsa dispositivos/sesiones que no reconozcas

En el mismo panel de seguridad puedes ver tus dispositivos. Cierra sesión en los que no son tuyos o te parezcan sospechosos. Esto corta accesos activos.

5) Activa la verificación en dos pasos

Si el hacker te robó la contraseña una vez, puede volver a hacerlo. La verificación en dos pasos cambia el juego.

Actívala desde el flujo oficial de seguridad. Si puedes, prioriza métodos fuertes (app autenticadora / llaves / passkeys si lo tienes disponible).

6) Revisa apps con acceso a tu cuenta y revoca las raras

Un intruso no siempre “vive” en tu Gmail con sesión abierta. A veces conecta una app con permisos y así vuelve a entrar incluso cuando cambias la contraseña.

  • En seguridad, busca accesos de terceros / apps conectadas.
  • Revoca cualquier app que no reconozcas o que no necesites.

7) Revisa filtros y reenvío en Gmail (el detalle que muchos no miran)

Esta es una jugada común: el intruso crea un filtro para reenviar ciertos correos (por ejemplo, “códigos”, “PayPal”, “Facebook”, “banco”) a otra dirección o para archivarlos y que tú no los veas.

  • En Gmail (web): revisa Filtros y direcciones bloqueadas.
  • Revisa Reenvío y correo POP/IMAP y elimina direcciones desconocidas.

Señal de limpieza real: no hay reenvíos extraños, no hay filtros sospechosos, y los accesos raros desaparecen del panel de seguridad.

Si NO puedes entrar: recuperación oficial (sin atajos)

Si el hacker cambió tu correo de recuperación, tu número, o te saca cada vez que intentas entrar, no pierdas tiempo buscando “trucos”. Lo correcto es usar el flujo oficial de recuperación de Google.


Recuperar tu Cuenta de Google (oficial)

Consejos que suben mucho la probabilidad de recuperación

  • Usa el mismo dispositivo donde normalmente abrías Gmail (tu celular o tu PC habitual).
  • Usa la misma red (tu Wi-Fi de casa si puedes).
  • Responde con precisión: si no estás seguro, evita adivinar demasiado.
  • No hagas 20 intentos seguidos cambiando datos; si te bloquea, espera y vuelve con calma.

Guía oficial con recomendaciones para completar la recuperación:


Consejos para completar la recuperación de tu cuenta (Google)

Importante: si el hacker cambió los datos de recuperación, igual es posible recuperar, pero a veces toma varios intentos bien hechos. Tu objetivo es “parecerte” al dueño real (dispositivo/red/hábitos).

Si el ataque fue por phishing: corta el ciclo

Muchos hacks de Gmail empiezan igual: un correo “urgente” que te asusta, te manda a un enlace, y ahí capturan tu contraseña o tu código. Lo peligroso es que el mismo patrón se repite después en PayPal, Facebook, bancos, etc.

Cómo reportar phishing en Gmail (oficial)


Reportar phishing en Gmail (Google)

Señales típicas de phishing (para no caer otra vez)

  • Te meten prisa: “en 15 minutos se cerrará tu cuenta”.
  • Te piden “verificar” con enlaces raros o dominios extraños.
  • Te piden códigos (SMS/Authenticator) por mensaje “de soporte”.
  • Errores raros o un tono demasiado agresivo.

Consejos oficiales de seguridad de la cuenta:


Hacer tu Cuenta de Google más segura (Google)

Checklist final de blindaje (2 minutos)

Cuando sientas que ya recuperaste el control, haz esto para cerrar “puertas” que a veces quedan abiertas:

  • Ejecuta el Security Checkup oficial (te muestra accesos y recomendaciones rápidas):
    Abrir Security Checkup
  • Revisa dispositivos y elimina los que no reconoces.
  • Confirma que el correo alterno y el teléfono de recuperación son tuyos.
  • Activa 2-Step Verification y evita compartir códigos con cualquiera.
  • Elimina filtros/reenvíos extraños en Gmail.

Consejo práctico: si el intruso entró a tu Gmail, asume que intentará entrar a tus cuentas vinculadas. Cambia contraseñas en cascada empezando por: Gmail → PayPal → Facebook/Instagram → bancos.

Lecturas relacionadas (para cerrar el círculo)

Publicado el

Publicidad emergente en Android: cómo saber si es virus y quitar los anuncios que aparecen solos

publicidad emergente en android virus

Cuando empiezan a salir anuncios emergentes en tu Android (pop-ups, redirecciones raras, alertas falsas tipo “tu teléfono está infectado”), se siente invasivo. Y lo peor es que muchas veces no sabes de dónde viene: ¿es Chrome?, ¿es una notificación que aceptaste sin querer?, ¿es una app que se instaló y ahora muestra anuncios “encima” de todo?

En esta guía vas a aprender a:

  • Identificar el tipo de publicidad emergente (Chrome, notificaciones o una app).
  • Encontrar el origen sin instalar “apps milagro”.
  • Eliminarlo de forma segura usando herramientas nativas y guías oficiales.

Advertencia rápida (importante): si algún pop-up te pide instalar un “antivirus” desde un enlace, o te pide meter tu contraseña, o te dice que llames a un número, trátalo como estafa. Cierra la pestaña y sigue esta guía. No necesitas obedecer a esos anuncios.

Primero: identifica qué tipo de “publicidad emergente” tienes

Esto te ahorra el 80% del tiempo. La “publicidad” puede venir de 3 sitios distintos y cada uno se arregla de forma diferente.

  • Tipo A — Pop-ups dentro de Chrome: solo aparecen cuando navegas. Suelen venir de una web, un redirect o una página con anuncios agresivos.
  • Tipo B — Notificaciones push de un sitio: te aparecen aunque cierres Chrome (porque un sitio obtuvo permiso de “Enviar notificaciones”).
  • Tipo C — Anuncios “encima” de otras apps: aparecen en la pantalla de inicio, en WhatsApp, en YouTube, o incluso cuando no estás navegando. Esto suele venir de una app (adware).

Mini-diagnóstico rápido:

  • Si solo pasa dentro de Chrome → empieza por “Chrome: pop-ups y redirecciones”.
  • Si te llegan notificaciones con promociones raras → ve a “Notificaciones push”.
  • Si aparecen sobre todo el teléfono → ve a “App culpable / anuncios encima”.

Diagnóstico en 3 pruebas (sin capturas, 5–10 minutos)

Prueba 1: cierra Chrome completamente

Cierra Chrome (y si puedes, también desde la vista de apps recientes) y espera 60 segundos.

  • Si los anuncios dejan de aparecer: probablemente es Chrome (páginas, redirecciones, pop-ups) o algo relacionado con el navegador.
  • Si siguen apareciendo: probablemente es notificación o una app mostrando anuncios encima.

Prueba 2: ejecuta un escaneo con Google Play Protect

Play Protect es el escáner nativo de Google para apps instaladas. No es mágico, pero sirve para detectar aplicaciones problemáticas y es un buen filtro inicial.

Guía oficial de Google para usar Play Protect:
Activar y usar Google Play Protect

Qué te interesa aquí: si Play Protect te avisa de una app “dañina” o “potencialmente dañina”, eso te da una pista clara de por dónde viene el problema.

Prueba 3: revisa si diste permiso de notificaciones a un sitio

Muchos casos de “me sale publicidad en el celular” en realidad son notificaciones push. A veces basta un toque accidental en “Permitir”.

Guía oficial de Chrome para eliminar anuncios, pop-ups y software no deseado en Android (incluye revisar permisos):
Eliminar anuncios, pop-ups y malware en Chrome (Android)

Soluciones según el origen

Si el problema está dentro de Chrome (pop-ups y redirecciones)

Cuando el problema es “navego y me salen ventanas”, lo más efectivo suele ser cortar la fuente: bloquear pop-ups, limpiar permisos y revisar si hay “sitios” que quedaron con privilegios.

Checklist práctico (sin complicarte):

  • Evita tocar anuncios tipo “Actualizar Chrome”, “Tu Android está infectado”, “Descarga esta app ya”. Es casi siempre engaño.
  • Si los anuncios aparecen en páginas específicas: cierra esa pestaña, sal de la página y no vuelvas a abrirla.
  • Si el navegador está “raro” (cambia el buscador, abre cosas solo), sigue el flujo oficial de limpieza del enlace de arriba.

Señal de éxito: vuelves a navegar sin que se abran pestañas raras y sin que te empujen a instalar “antivirus” desde anuncios.

Si son notificaciones push (te llegan anuncios aunque cierres Chrome)

Este es el caso que más engaña, porque parece virus: te llegan notificaciones con títulos agresivos (“tu teléfono tiene 6 virus”, “ganaste un premio”, “tu batería está dañada”) aunque no estés navegando.

Solución: revocar permisos de notificación del sitio que los está enviando.

Google incluye estos pasos dentro de su guía oficial de limpieza:
Eliminar anuncios, pop-ups y malware (Android)

Cómo reconocer el origen: normalmente esas notificaciones muestran un nombre de sitio (a veces raro). Cuando quitas el permiso, desaparecen de inmediato.

Regla que te salva a futuro: si una web te pide “Permitir notificaciones” y no es algo que realmente necesites (banco, correo, app importante), mejor Bloquear.

Si los anuncios aparecen “encima” de otras apps (adware / app culpable)

Si la publicidad aparece incluso en la pantalla de inicio, sobre WhatsApp, YouTube u otras apps, casi siempre es una aplicación la que está mostrando anuncios “por encima”. Este es el famoso adware.

Así lo atacas sin adivinar:

  • Piensa como detective: ¿qué instalaste “hace poco” (ayer/esta semana)? Muchas veces coincide con el inicio del problema.
  • Desconfía especialmente de apps tipo: limpiadores, “boosters”, fondos de pantalla sospechosos, teclados raros, escáner QR desconocido, linternas extrañas, “optimizadores”, VPN gratis desconocidas.
  • Desinstala en bloque inteligente: empieza por las apps instaladas recientemente que no sean esenciales.

Truco práctico para confirmar: desinstala 1–2 sospechosas, reinicia, y mira si la publicidad desaparece. Si desaparece, ya encontraste la familia de apps culpables. Si sigue, continúa con la siguiente tanda.

Después de desinstalar, ejecuta nuevamente el escaneo con Play Protect (guía oficial):
Google Play Protect

Señal clara de que era una app: en cuanto la quitas, los anuncios dejan de aparecer en todo el sistema.

Cuando no encuentras la app culpable: el paso que más aclara la situación

Hay casos donde no es obvio qué app lo causa (porque usa un nombre genérico o se camufla). Aquí lo que más ayuda es aislar el comportamiento:

  • Reinicia el teléfono y observa si el problema empieza apenas enciende o aparece después de abrir alguna app.
  • Evita abrir tus apps habituales por 2–3 minutos. Si la publicidad aparece sola igual, es casi seguro una app/permiso del sistema.
  • Si tras desinstalar las recientes no cambia nada, revisa si alguna app te pidió permisos extraños (como Accesibilidad o “aparecer sobre otras apps”).

En esta web, esa revisión la cubrimos a fondo en artículos relacionados (para enlazar sin canibalizar):

Errores comunes que empeoran el problema (y hacen que vuelva)

  • Instalar “antivirus” desde el pop-up: eso suele ser la trampa.
  • Seguir tutoriales que te mandan a bajar APKs o “limpiadores premium”. Si el sitio parece dudoso, no lo hagas.
  • Conservar extensiones/apps “porque no pasa nada”: en Android, una sola app basura puede arruinar toda la experiencia.

Regla de oro: si tu teléfono empezó con anuncios de la nada, casi siempre hubo un disparador: una web con permisos, una app nueva, o una extensión/configuración del navegador. Ataca el origen, no el síntoma.

Checklist final para “blindar” tu Android

  • Mantén Play Protect activado y pásalo si notas algo raro:
    Guía oficial
  • No aceptes notificaciones de sitios que no sean necesarios.
  • Evita instalar APKs fuera de Google Play si no sabes exactamente qué estás instalando.
  • Cuando instales una app nueva, si al día siguiente empiezan anuncios, ese timing casi nunca es coincidencia.

Lecturas relacionadas (para avanzar sin canibalizar)

Publicado el

Disco al 100% en Windows: ¿virus o problema del sistema? Cómo detectarlo y bajarlo 

Si tu PC está lentísima, se congela al abrir carpetas y el Administrador de tareas marca Disco al 100%, es normal pensar “me metieron un virus” o “me están minando”. Y sí: puede ser malware… pero también hay casos súper comunes (Windows Update, indexación, SysMain, antivirus) que se sienten exactamente igual.

En esta Parte 1 vas a conseguir 3 cosas concretas (sin capturas y sin instalar “optimizadores”):

  • Encontrar el proceso culpable (el que te está clavando el disco).
  • Distinguir si es un comportamiento “normal” de Windows o un patrón sospechoso.
  • Decidir si vas por la ruta de ajustes seguros (Windows) o por el plan anti-virus/minero (Parte 2).

Si estás apurado: salta a Diagnóstico rápido. Ahí está lo que más gente se pierde y por eso termina probando 20 cosas sin resultado.

1) Cómo se siente el “disco 100%” cuando realmente te está ahorcando

Los síntomas típicos no son sutiles:

  • Congelamientos al abrir el explorador o al hacer clic derecho.
  • Programas que tardan siglos en abrir o responden “No responde”.
  • LED del disco fijo (si tu laptop/PC tiene indicador).
  • Disco al 100% con 0–1 MB/s (se ve “al máximo” pero casi no transfiere).

Ese último punto es clave: muchas veces el disco está al 100% no por “velocidad”, sino por tiempo de actividad (se satura con miles de tareas pequeñas, algo típico en HDD o cuando un servicio se queda pegado).

2) Antes de pensar “virus”: causas comunes que NO son malware

Te lo digo así porque es lo que más frustra: quieres “borrar el virus”… y resulta que el culpable era Windows haciendo tareas legítimas.

A) Windows Update / Delivery Optimization

Después de actualizaciones, Windows puede usar disco fuerte un rato. Si el pico aparece justo tras reiniciar o tras “Update”, suele ser esto.

B) Antivirus / Microsoft Defender

Si Defender está escaneando o revisando cambios, puede elevar uso de disco. La diferencia es que aparece como proceso de seguridad y suele bajar después.

Referencia oficial para entender secciones de seguridad y análisis:
Virus & threat protection (Microsoft Support).

C) Indexación / Windows Search

Cuando Windows indexa archivos (para búsqueda rápida), puede pegar el disco, especialmente en HDD. Suele pasar más al inicio o tras cambios grandes.

D) SysMain (antes Superfetch)

En algunos equipos (sobre todo con HDD), SysMain puede quedarse “martillando” el disco. No es virus, pero se siente como si alguien te estuviera usando el PC.

Regla rápida: si el culpable se llama algo reconocible (Windows Update, Defender, Search, SysMain) y el comportamiento es más fuerte justo después de reiniciar, primero asume “Windows” hasta probar lo contrario.

3) Diagnóstico rápido: encuentra al culpable en 2–5 minutos

Esto define el camino. Si no sabes qué proceso está arriba, todo lo demás es a ciegas.

Paso 1: Administrador de tareas → ordena por “Disco”

  1. Presiona Ctrl + Shift + Esc.
  2. Ve a Procesos.
  3. Haz clic en la columna Disco para ordenar de mayor a menor.

Qué necesitas anotar: el top 1–3 procesos que mantienen el disco alto durante 60–90 segundos (no solo un pico de 2 segundos).

Paso 2: valida si el disco está “ocupado” aunque no transfiera

Ve a Rendimiento → Disco. Mira:

  • Tiempo de actividad (si está pegado en 100%).
  • Velocidad de lectura/escritura (si está baja pero el 100% sigue, suele ser saturación por tareas pequeñas).

Paso 3: “Prueba del navegador” (sí, aquí también aplica)

A veces el disco se dispara por caché, extensiones, descargas automáticas o adware en el navegador.

  • Cierra Chrome/Edge por completo.
  • Espera 30–60 segundos y revisa si baja el disco.

Si el navegador estaba raro (pop-ups, redirecciones, buscador cambiado), Google recomienda restablecer Chrome y limpiar software no deseado:
Guía oficial de Google (Chrome): anuncios, pop-ups y malware.

4) Cuándo el “disco 100%” sí huele a virus o minero

Estas combinaciones son las que ya me hacen decir: “ok, aquí no te conviene perder tiempo”:

  • Disco al 100% + CPU alta sin razón (se refuerzan entre sí).
  • El proceso culpable tiene nombre raro o cambia de nombre.
  • El consumo baja justo cuando abres el Administrador de tareas (evasivo).
  • Además ves señales de minado/cryptojacking: PC “trabajando” en reposo.
  • Windows Defender se apaga, no abre o no se activa (mala señal si se junta con lo anterior).

Para conectar piezas, abre estos en otra pestaña:

5) Errores comunes que empeoran el disco 100% (evítalos hoy)

  • Instalar “optimizadores” o “Disk Booster” desde webs raras: muchas veces eso es el problema.
  • Borrar cosas a ciegas en System32 o tocar servicios sin identificar el proceso culpable.
  • Desactivar seguridad “para que corra mejor”. Si hay infección, le abres la puerta.

Lo importante hoy: identifica el proceso. Con eso, en la Parte 2 te doy la solución exacta por escenario (SysMain/Update/Defender vs malware/minero) y cómo confirmas resultados sin quedarte con la duda.

Cómo bajar el disco al 100% de forma segura (y qué hacer si es virus/minero)

Si ya encontraste el proceso culpable (o al menos el patrón), ahora sí toca actuar. La regla aquí es simple: no hagas cambios “a ciegas”. Primero aplicas la solución según el escenario y luego confirmas si realmente bajó el uso del disco.

Si estás apurado: identifica tu escenario y salta directo:

A) Cuando el culpable es Windows (y se quedó pegado)

Este escenario es el más común, sobre todo en PCs con HDD o después de reinicios/actualizaciones. Aquí la meta no es “borrar cosas”, es reducir la presión y comprobar si era una tarea temporal o algo que se trabó.

1) Windows Update / Delivery Optimization

Si ves procesos ligados a update, lo primero es confirmar que no está a mitad de una instalación. A veces el disco está al 100% durante un rato y luego baja solo. Si quieres revisar el estado, usa la ruta oficial de Windows Update (Configuración → Windows Update) y deja que termine.

Señal típica de “es update”: el pico es fuerte durante un periodo, pero cambia con el tiempo (no se queda igual toda la tarde con el mismo proceso arriba).

2) Windows Search / indexación

Si el culpable es búsqueda/indexación, suele pasar tras cambios grandes (copiaste muchos archivos, instalaste programas, etc.). Dale un margen. Si está pegado horas todos los días, ahí sí conviene reducir el daño: evita hacer cosas pesadas mientras termina y reinicia para ver si el patrón baja.

3) SysMain (antes Superfetch)

En HDD, SysMain puede disparar disco por “precarga”. No es virus, pero se siente igual. Si tu PC es antigua o con HDD, este punto puede ser la diferencia entre “inusable” y “normal”.

Qué haría yo sin complicarme: si SysMain aparece consistentemente arriba y el disco está clavado, prueba deshabilitarlo solo como test para ver si el disco baja. Si no cambia nada, lo vuelves a dejar como estaba.

Guía oficial de Microsoft sobre servicios y administración del sistema (orientativo):
Administración de servicios (Microsoft Learn).

Advertencia: no deshabilites “cosas al azar”. Cambia una sola cosa y mide el resultado.

4) Microsoft Defender escaneando

Defender puede usar disco fuerte durante análisis. En vez de apagarlo (mala idea), revisa la sección de protección contra virus y amenazas para ver si hay un análisis en curso o eventos recientes.


Virus & threat protection (Microsoft Support)

Si Defender está pegado al 100% todo el día y además sientes el equipo “raro”, ahí ya no lo tratas como “solo Defender”: te vas al escenario de malware.

B) Cuando el origen es el navegador (descargas automáticas, extensiones, adware)

Este caso engaña muchísimo porque el disco se va al 100% por caché, procesos del navegador o descargas/lecturas constantes. Si al cerrar Chrome/Edge el disco baja fuerte, no lo dudes: tu solución está aquí.

1) Revisa descargas y extensiones sospechosas

  • Si ves descargas automáticas o archivos raros que no recuerdas, mala señal.
  • Elimina extensiones que no instalaste conscientemente o que pidan permisos excesivos.

2) Restablece Chrome si hubo redirecciones, pop-ups o comportamiento extraño

Google recomienda un flujo oficial para limpiar anuncios/pop-ups y “software no deseado”, incluyendo restablecer configuración:


Guía oficial de Google: eliminar anuncios, pop-ups y malware + restablecer Chrome

Prueba final: reinicia la PC, no abras el navegador por 2 minutos, mira el disco. Luego abre el navegador y observa si el pico regresa. Ese A/B test te dice la verdad sin teoría.

C) Cuando sí parece malware/minero (disco 100% + síntomas combinados)

Este es el escenario que más gente intenta “resolver” con un descargador random. Y ahí se empeora todo. Si el proceso es raro, cambia, se esconde, o viene junto con CPU alta, red rara, o Defender apagado, lo más efectivo suele ser ir por un escaneo que reinicia el sistema y analiza fuera de tu sesión normal.

1) Ejecuta Microsoft Defender Offline scan

Este tipo de análisis está diseñado para detectar malware que intenta esconderse o resistir cuando Windows está corriendo:


Microsoft Defender Offline scan (guía oficial)

Cómo hacerlo (directo)

  1. Abre Windows Security.
  2. Entra a Virus & threat protection.
  3. Abre Scan options.
  4. Selecciona Microsoft Defender Offline scan y ejecuta Scan now.

Qué esperar: reinicio + escaneo + vuelta a Windows.

2) Confirma resultados en Protection History (para no quedarte con la duda)

Después del escaneo, revisa detecciones, cuarentena y acciones tomadas:


Protection History (Microsoft Support)

Qué te interesa ver: “Remediated”, “Quarantined”, PUA removidas y cualquier evento repetido. Si ves “incomplete remediation” o eventos que vuelven, repite el offline scan y revisa el origen (navegador/instaladores).

3) Segunda opinión oficial: Microsoft Safety Scanner (MSERT)

Si quieres confirmar con una herramienta extra sin caer en antivirus dudosos, usa MSERT (bajo demanda) desde Microsoft:


Microsoft Safety Scanner (MSERT) – descarga oficial

4) Si sospechas minado/cryptojacking, conecta con esta guía

Cuando el disco 100% viene junto con CPU alta y sensación de “está trabajando sin mí”, revisa:

Confirmación rápida: ¿ya se solucionó o solo “bajó por rato”?

Hay un error común: “bajó 5 minutos” y ya lo dan por resuelto. Mejor confirma así:

  • Reinicia la PC.
  • Déjala en el escritorio 2 minutos sin abrir nada.
  • Abre Administrador de tareas y mira Disco.
  • Luego abre solo 1 cosa (navegador) y compara.

Si vuelve a clavarse siempre con el mismo patrón, todavía hay origen activo (extensión, servicio, instalador, o malware persistente).

Errores que hacen que el disco 100% vuelva mañana

  • Seguir instalando “optimizadores” o cracks: es la puerta de entrada más común.
  • Dejar extensiones “raras” porque “no estorban”. Estorban, y a veces son el problema.
  • No revisar Protection History: si no confirmas, te quedas con la duda y repites el ciclo.
Publicado el

Uso de CPU al 100% sin razón: ¿virus o problema de Windows? Cómo detectarlo y detenerlo

uso de cpu 100 sin razon virus

Cuando tu PC marca CPU al 90–100% “sin hacer nada”, no se siente como una simple lentitud. Se siente como que el equipo está trabajando para alguien más: ventiladores a tope, calor, navegador pesado, y esa duda constante de “¿me están minando?” o “¿tengo un virus?”.

Vamos a hacerlo en orden y sin pánico. En esta Parte 1 vas a lograr 3 cosas muy claras:

  • Identificar el proceso culpable (sin adivinar).
  • Distinguir si es una causa “normal” (Windows/actualizaciones) o un patrón sospechoso.
  • Decidir si necesitas el plan anti-virus/minero (Parte 2) o un ajuste rápido.

Si estás apurado: ve directo a la sección Diagnóstico rápido. Ahí está el punto que más gente se salta.

1) Señales típicas cuando la CPU está al 100% por algo sospechoso

No es solo “va lento”. La gente que llega buscando “uso de cpu 100 sin razon virus” suele describir una mezcla de señales como estas:

  • CPU alta en reposo: estás en el escritorio y marca 40–100% sin abrir nada pesado.
  • Ventiladores y calor: el equipo suena como si estuvieras jugando.
  • Picos raros: sube, baja, vuelve a subir solo… sin que tú hagas nada.
  • Baja cuando lo miras: abres el Administrador de tareas y “mágicamente” cae el consumo (comportamiento evasivo).
  • Todo se pone torpe: abrir carpetas tarda, el navegador se congela, el mouse se siente pesado.

Ojo: una sola señal no confirma virus. Lo que importa es el patrón: que se repita y no tenga una explicación obvia.

2) Antes de pensar “me hackearon”: causas comunes que NO son virus

Esto te ahorra horas: muchas veces la CPU se dispara por tareas legítimas (sobre todo después de reiniciar o actualizar). Lo clave es que, aunque moleste, suele ser temporal y el proceso es “reconocible”.

A) Windows Update / tareas después de una actualización

Tras una actualización, Windows puede trabajar fuerte por un rato (optimización, instalación, servicios). Si el pico dura unos minutos y luego baja, es muy probable que sea esto.

B) Indexación / búsqueda / servicios en segundo plano

Cuando Windows indexa archivos o reorganiza datos, puede usar CPU. Normalmente no se queda al 100% durante horas, pero sí puede pegar picos.

C) Antivirus escaneando

Un análisis completo puede disparar CPU. La diferencia es que el proceso suele ser el antivirus/Defender y hay registro de actividad.

D) Navegador con pestañas/extensiones

Chrome/Edge puede elevar CPU por extensiones, páginas pesadas o incluso anuncios agresivos. Si tu CPU baja al cerrar el navegador, casi siempre el origen está ahí.

Si sospechas que el navegador está “ensuciado” (pop-ups, buscador cambiado, pestañas que se abren solas), Google recomienda restablecer Chrome y eliminar software no deseado:
Guía oficial de Google: eliminar anuncios, pop-ups y malware.

3) Diagnóstico rápido (sin capturas): encuentra al culpable en 2–5 minutos

Este es el punto que define todo. Si no sabes qué proceso sube la CPU, cualquier “solución” es a ciegas.

Paso 1: abre el Administrador de tareas y ordena por CPU

  1. Presiona Ctrl + Shift + Esc.
  2. Ve a Procesos.
  3. Haz clic en la columna CPU para ordenar de mayor a menor.

Qué necesitas anotar (rápido): el nombre del proceso que está arriba, y si se mantiene alto por más de 60–90 segundos.

Paso 2: prueba de 60 segundos para saber si es el navegador

  • Cierra Chrome/Edge por completo.
  • Espera 30–60 segundos y mira la CPU.

Interpretación directa:

  • Si la CPU cae fuerte: el problema suele ser pestaña/extensión o navegador contaminado.
  • Si la CPU sigue alta igual: puede ser un servicio, un programa instalado, un driver, o algo persistente.

Paso 3: si el proceso se ve raro, revisa 2 cosas rápidas (sin meterte en “modo hacker”)

Haz clic derecho sobre el proceso (si Windows te da la opción):

  • Abrir ubicación del archivo (si está disponible). Un ejecutable en una carpeta extraña o con nombre random es una bandera roja.
  • Propiedades → revisa si aparece un editor conocido. Muchos malware usan nombres parecidos a Windows, pero sin firma clara.

No necesitas tocar nada todavía. Solo estás recolectando señales.

4) ¿Cuándo esto sí se parece a virus o “minero”?

Estas combinaciones son las que justifican ir a la Parte 2 con plan “fuerte”:

  • CPU al 100% en reposo de forma repetida + proceso desconocido.
  • La CPU baja cuando abres el Administrador de tareas (evasivo).
  • Tu PC además muestra señales tipo “minado”: calor constante, rendimiento irregular, navegador pesado.
  • Windows Defender se apaga solo o no abre (esto suele venir en combo con infecciones).

Si encajas en ese escenario, te conviene leer estos (en otra pestaña) para conectar piezas:

5) Errores comunes que empeoran todo (evítalos hoy)

  • Descargar “CPU Fix Tool” desde páginas raras. Muchas veces eso es el virus.
  • Instalar un “optimizador milagro”: terminan metiendo adware y más consumo.
  • Desactivar seguridad “para que corra mejor”: si hay infección, le abres la puerta.

Si hoy solo haces una cosa, que sea esta: identifica el proceso culpable y confirma si el patrón se va al cerrar el navegador. Eso define el camino.

Parte 2: cómo bajar la CPU del 100% de forma segura (y qué hacer si es virus/minero)

Si en la Parte 1 ya encontraste el patrón (por ejemplo: la CPU se dispara en reposo, el proceso es raro, o baja cuando abres el Administrador de tareas), ahora sí toca hacer lo que funciona: cortar el consumo, limpiar el origen y blindar para que no vuelva.

La clave aquí es el orden. Mucha gente lo hace al revés: instala herramientas raras, borra cosas a ciegas o “optimiza” Windows… y termina con más problemas. Vamos por escenarios.

Si estás apurado: identifica tu escenario y salta directo a su sección:

Escenario A: la CPU sube por el navegador (Chrome/Edge) o por extensiones

Este es el caso más común. Se siente como virus porque la PC se pone lenta, salen ventanas, se abren pestañas, o Chrome consume CPU como loco. Pero muchas veces el origen es una extensión, una página o un navegador “contaminado”.

1) Elimina extensiones con mentalidad de “cero confianza”

  • Quita extensiones que no recuerdes instalar.
  • Desconfía de: “PDF”, “Search”, “Coupons”, “Video downloader”, “VPN gratis”, “Ad blocker desconocido”.
  • Si una extensión pide permisos tipo “leer y cambiar todo lo que ves”, y tú no la necesitas, mejor fuera.

2) Restablece Chrome (rápido y seguro)

Cuando el navegador se siente “poseído” (cambió tu buscador, aparecen anuncios raros, se abren páginas), Google recomienda restablecer configuración para volver a un estado limpio:


Guía oficial de Google: eliminar anuncios, pop-ups y malware + restablecer Chrome

Por qué esto funciona: no es solo “volver a lo básico”. El reset corta muchas configuraciones usadas por adware y secuestradores del navegador.

3) Repite la prueba de 60 segundos

Después de limpiar extensiones y resetear, haz lo mismo que en la Parte 1:

  • Reinicia el navegador.
  • Deja el escritorio sin abrir nada 1 minuto.
  • Mira si la CPU vuelve a niveles normales.

Si la CPU ya bajó, perfecto: el problema era el navegador. Mantén pocas extensiones y no instales “limpiadores” extra.

Escenario B: la CPU sigue alta con todo cerrado (posible malware/minero)

Si cierras Chrome/Edge y la CPU sigue al 80–100%, aquí ya no conviene perder tiempo con soluciones “suaves”. Si es un minero o un malware persistente, muchas veces intenta correr antes de que puedas actuar normal. Por eso el paso más efectivo suele ser un escaneo que reinicia y analiza fuera del Windows “normal”.

1) Ejecuta Microsoft Defender Offline scan (el paso que más “rompe” persistencia)

Microsoft explica cómo usar Microsoft Defender Offline scan para detectar malware que puede ocultarse o resistirse dentro del sistema:


Microsoft Defender Offline scan (guía oficial)

Cómo hacerlo (sin capturas, directo)

  1. Abre Windows Security.
  2. Entra a Virus & threat protection.
  3. Abre Scan options.
  4. Selecciona Microsoft Defender Offline scan y ejecuta Scan now.

Qué esperar: el equipo se reinicia y escanea antes de cargar Windows completamente. Luego vuelve a iniciar.

2) Verifica “qué encontró” (para no quedarte con dudas)

Después del escaneo, revisa el historial de protección para ver detecciones, cuarentenas y acciones:


Protection History (Microsoft Support)

Qué mirar ahí: amenazas detectadas, PUA (aplicaciones potencialmente no deseadas), o eventos de “remediación incompleta” (si lo ves, repite el offline scan).

3) Segunda opinión oficial (sin antivirus raros): Microsoft Safety Scanner (MSERT)

Si el comportamiento sigue raro o quieres confirmar, usa un escáner bajo demanda de Microsoft:


Microsoft Safety Scanner (MSERT) – descarga oficial

Regla de oro: descárgalo solo desde Microsoft. Si lo ves en una web “de descargas”, evita.

4) Si sospechas cryptojacking (minero), conecta con esta guía

Si además de CPU alta tienes calor constante y la PC “se siente trabajando” aunque no hagas nada, revisa esto:

Escenario C: es Windows o un servicio legítimo que quedó pegado

Este escenario se nota cuando el proceso culpable es “conocido” (Windows Update, Antimalware Service Executable, etc.) y el pico suele ocurrir tras reiniciar o actualizar. Aquí el objetivo no es “borrar cosas”, sino confirmar que es legítimo y darle un margen razonable.

Cómo diferenciarlo de un virus (sin tecnicismos)

  • El nombre del proceso es coherente y aparece como componente de Windows/Defender.
  • El consumo baja después de un tiempo (no se queda al 100% por horas todos los días).
  • No hay señales extra (pop-ups, redirecciones, Defender apagado).

Si tu caso es este, no te recomiendo “soluciones agresivas” hoy. Lo mejor es vigilar 1–2 ciclos de reinicio. Si la CPU sigue clavada siempre, entonces ya no parece “tarea temporal” y vuelves al Escenario B.

Checklist final: lo que yo haría hoy (en orden)

  • 1) Confirmo el proceso culpable (Parte 1).
  • 2) Cierro el navegador y veo si cae.
  • 3) Si era navegador: borro extensiones + reseteo Chrome con guía oficial.
    Abrir guía.
  • 4) Si sigue alta con todo cerrado: ejecuto Defender Offline scan.
    Abrir guía.
  • 5) Reviso Protection History para confirmar qué se bloqueó.
    Abrir guía.

Guarda este checklist: la próxima vez que veas CPU al 100% sin razón, en 2–5 minutos sabes si es navegador, Windows o algo sospechoso. Ese “saber rápido” es lo que te quita la ansiedad.

Publicado el

GPU al 100% sin jugar: causas reales y cómo saber si es virus minero

GPU al 100% sin jugar

Si abriste el Administrador de tareas y viste la GPU en 90–100% sin estar jugando, es normal que te pase lo mismo que a casi todos: la primera idea es “me están minando” o “tengo un virus”. Y sí, puede ser, pero también hay un montón de casos donde no es malware (y perderías horas persiguiendo fantasmas).

En esta Parte 1 vas a conseguir algo muy concreto: ubicar al culpable y saber si el patrón se parece a cryptojacking o a un tema de configuración/driver. Sin capturas obligatorias, sin instalar “optimizadores” y sin adivinar.

  • Vas a identificar qué proceso está usando tu GPU.
  • Vas a diferenciar causas comunes (navegador/driver/overlays) vs. comportamiento sospechoso.
  • Vas a decidir si necesitas el plan “anti-minero” (Parte 2) o un ajuste rápido.

1) Cuando la GPU al 100% “huele” a minero (y por qué asusta tanto)

Estas señales no prueban un virus por sí solas, pero sí justifican sospecha cuando se combinan:

  • GPU al 100% en reposo (sin juegos, sin render, sin IA, sin edición).
  • Ventiladores y temperatura como si estuvieras jugando, incluso con el escritorio abierto.
  • Picos raros: parece que baja… y vuelve a subir sola.
  • El uso baja justo cuando abres el Administrador de tareas (comportamiento evasivo).

Microsoft incluso reconoce que un uso alto de GPU “sin razón” puede estar relacionado con malware/cryptominer en algunos casos, y por eso recomienda revisar procesos y escanear si hay sospecha.
Referencia (Microsoft Learn / Answers).

Pero antes de entrar en modo pánico, mira esto: la causa más común suele ser el navegador, un overlay o un driver con mal comportamiento. Y lo bueno es que eso se detecta rápido.

2) Cuatro causas comunes que NO son virus (y engañan a cualquiera)

Esto lo pongo porque es la parte que más gente se salta: ven 100% y se van directo a descargar “GPU fix tool”. No hagas eso todavía.

A) Aceleración por hardware del navegador (Chrome/Edge)

Cuando la aceleración por hardware está activa, el navegador puede empujar tareas visuales a la GPU. Con ciertas extensiones, páginas pesadas o bugs, puedes ver la GPU disparada “sin estar jugando”.

B) Overlays y grabación en segundo plano

Apps como overlays de FPS, grabadores, Discord overlay, Xbox Game Bar, o utilidades de la tarjeta pueden mantener procesos gráficos activos sin que lo notes.

C) Driver bug o instalación sucia

Cuando un driver queda a medias (actualización fallida o instalación vieja encima), aparecen consumos raros, picos y glitches. No es “virus”, pero se siente igual.

D) Medición engañosa (no siempre lo que ves es lo que pasa)

En algunos equipos, el Administrador de tareas puede mostrar picos por el motor gráfico equivocado o por tareas de escritorio. Por eso lo más importante no es el porcentaje, sino el proceso que lo provoca.

3) Diagnóstico rápido (sin capturas): encuentra el proceso culpable

Guarda esta idea: si no sabes qué proceso lo causa, todo lo demás es ruido. Vamos con el método rápido.

Paso 1: abre el Administrador de tareas y muestra columnas de GPU

  1. Presiona Ctrl + Shift + Esc.
  2. Ve a la pestaña Procesos.
  3. Haz clic derecho sobre los encabezados (CPU/Memoria/etc.) y activa GPU y, si aparece, Motor de GPU (GPU engine).
  4. Ordena por la columna GPU de mayor a menor.

Qué quieres ver: el top 1–3 procesos que están empujando la GPU al techo.

Paso 2: prueba de 30 segundos para saber si es el navegador

Esto es simple y muy revelador:

  • Cierra Chrome/Edge por completo.
  • Espera 30–60 segundos y mira si la GPU cae.

Interpretación rápida:

  • Si la GPU baja fuerte al cerrar el navegador, casi siempre el origen es pestaña/extensión o aceleración por hardware.
  • Si la GPU sigue alta igual, es más probable que sea proceso instalado, overlay, driver o algo persistente.

Paso 3: si el culpable es el navegador, confirma dentro de Chrome

En Chrome: menú (⋮) → Más herramientas → Administrador de tareas. Ahí ves pestañas y extensiones que consumen. Si una extensión aparece arriba y tú no recuerdas haberla instalado, ya tienes una pista fuerte.

Y si el navegador está “extraño” (cambia buscador, abre cosas, anuncios raros), Google recomienda el restablecimiento de configuración para recuperar control.
Restablecer Chrome (Google).

4) Señales “rojas” (cuando ya no parece solo configuración)

  • Procesos con nombres raros (letras/números) y sin editor reconocido.
  • Un proceso aparece y desaparece como si “se escondiera”.
  • La GPU está alta incluso después de reiniciar y sin abrir nada.
  • Defender está desactivado o “no te deja” activar protección (esto suele venir en combo).

Si te identificaste con este bloque, no estás exagerando: vale la pena tratarlo como sospecha real.

Cómo cortar el consumo (de verdad), limpiar el origen y blindar tu PC para que no vuelva

Si llegaste hasta aquí, ya hiciste lo más importante: dejaste de “adivinar” y viste el patrón. Ahora viene la parte que la mayoría hace al revés: descargan cualquier “limpiador”, meten cracks, tocan mil opciones… y terminan peor.

La idea en esta Parte 2 es simple: 1) cortar el consumo, 2) limpiar la puerta de entrada (casi siempre navegador/extensión o un instalador dudoso), y 3) dejar blindado para que no vuelva.

1) Si la GPU sube por el navegador: corta el origen sin pelearte con Windows

Este caso es más común de lo que parece. A veces no es “un minero instalado”, sino una extensión, una página o un navegador “ensuciado” que se comporta como si te minaran.

Qué hacer (rápido y seguro)

  1. Elimina extensiones que no recuerdas instalar (especialmente “PDF”, “Search”, “Coupon”, “Video downloader”, “VPN gratis”).
  2. Si el navegador se siente raro (cambió el buscador, se abren pestañas, anuncios extraños), haz un reset.

Google tiene un procedimiento oficial para eliminar anuncios, pop-ups y malware y, dentro de ese mismo flujo, explica cómo restablecer la configuración del navegador:
Guía oficial de Google (Chrome): Remove unwanted ads, pop-ups & malware.

Detalle que suele delatar el origen: si después de resetear Chrome y borrar extensiones “sospechosas” el uso de GPU cae de golpe, casi siempre el problema estaba ahí. Y sí, se siente como si “te estuvieran minando” aunque técnicamente era un abuso del navegador.

2) Si la GPU sigue alta incluso con el navegador cerrado: usa Microsoft Defender Offline (esto es lo que más diferencia hace)

Cuando el consumo se mantiene aunque cierres todo, ahí sí vale la pena tratarlo como algo persistente. En esos casos, el escaneo más útil no es el “rápido”, sino el que reinicia el equipo y analiza en un entorno más confiable: Microsoft Defender Offline scan.

Microsoft explica el procedimiento oficial (Windows Security → Virus & threat protection → Scan options → Microsoft Defender Offline scan):
Microsoft Defender Offline scan (Microsoft Learn).

Cómo ejecutarlo (pasos directos)

  1. Abre Windows Security.
  2. Entra a Virus & threat protection.
  3. Abre Scan options.
  4. Elige Microsoft Defender Offline scan y ejecuta Scan now.

Qué esperar: el equipo se reinicia, escanea antes de que Windows cargue por completo, y luego vuelve a iniciar. Si lo que te estaba “comiendo” la GPU era un minero o algo persistente, este paso suele ser el que lo desarma más seguido.

Si quieres ver la descripción oficial de este tipo de escaneo dentro de Windows Security (incluye la explicación de por qué es útil contra malware persistente):
Virus & threat protection (Microsoft Support).

3) Segunda opinión oficial (sin instalar antivirus raros): Microsoft Safety Scanner (MSERT)

Si todavía notas comportamiento raro (o si quieres confirmar con una herramienta extra sin caer en descargas peligrosas), Microsoft tiene un escáner “bajo demanda”: Microsoft Safety Scanner (MSERT). No reemplaza al antivirus residente, pero sirve como limpieza puntual.

Descarga oficial:
Microsoft Safety Scanner (MSERT) – Download.

Regla de oro: si no viene de Microsoft, no lo bajes. En este tema, los “descargadores” de terceros son parte del problema.

4) Confirma “qué encontró” y qué bloqueó: Protection History

Una razón por la que la gente se queda con la sensación de “no sé si ya se fue” es porque limpia, reinicia… y no revisa el registro. Windows Security tiene un apartado donde puedes ver acciones tomadas, PUA removidas y servicios críticos apagados: Protection History.

Guía oficial:
Protection History (Microsoft Support).

Qué mirar ahí (lo útil, no lo “técnico”)

  • Si se detectó algo y quedó en quarantine (cuarentena).
  • Si aparece PUA (Potentially Unwanted Application): instaladores con adware, barras, “optimizadores”.
  • Si hay avisos de servicios de seguridad apagados (esto, combinado con GPU alta, es mala señal).

5) Blindaje real: lo que evita que el “minero” vuelva (y por qué casi siempre regresa)

Te lo resumo como lo vive cualquiera: la mayoría “lo arregla” y a la semana vuelve porque el origen nunca se cortó. Estos son los puntos que más previenen recaídas:

  • Cero cracks / activadores: el “gratis” muchas veces se cobra con tu CPU/GPU.
  • Desconfía de instaladores que meten “ofertas” o “recomendados”. Muchos PUA entran así.
  • Extensiones mínimas: si no es indispensable, no va. Y revisa permisos.
  • Actualiza Windows y el navegador: no por perfeccionismo, sino porque los huecos viejos son los más explotados.

FAQ (rápido y sin humo)

¿GPU al 100% significa sí o sí virus minero?

No siempre. Puede ser navegador, overlay o driver. Por eso primero ubicas el proceso (Parte 1). Pero si la GPU se mantiene alta en reposo y se apaga/activa raro la seguridad, ahí sí vale tratarlo como sospecha real y usar Offline scan.

¿Me pueden “minar” solo por abrir una web?

Puede haber consumo mientras estás en esa web (scripts), pero si la GPU sigue alta incluso con el navegador cerrado, ya no es “solo una página”. Ahí entra el plan de escaneo y limpieza.

¿Esto puede dañar mi tarjeta gráfica?

Puede aumentar calor y desgaste por uso constante, especialmente en laptops. Si tus ventiladores están al límite “sin hacer nada”, no lo ignores.

Checklist final (si hoy viste GPU al 100% sin jugar)

  • Si es navegador: borra extensiones raras y resetea Chrome con la guía oficial.
    Abrir guía.
  • Si es persistente: ejecuta Microsoft Defender Offline scan.
    Abrir guía.
  • Segunda opinión: MSERT desde Microsoft.
    Abrir descarga oficial.
  • Confirma resultados: Protection History.
    Abrir guía.

Si quieres que el siguiente contenido continúe “en cadena” (misma audiencia, misma sospecha), el mejor siguiente post suele ser: “Chrome usa mucha GPU” o “Administrador de tareas muestra GPU alta”. Ahí es donde mucha gente aterriza después de este.

Publicado el

PC lenta y sospecha de minado: cómo detectar cryptojacking y cortar el “virus minero” (Guía 2026)

PC lenta y sospecha de minado

Hay un tipo de lentitud que se siente “normal” (Windows actualizando, mil pestañas abiertas, poco espacio en disco)… y hay otra que se siente diferente: ventiladores a tope, el equipo se calienta “sin hacer nada”, el navegador se vuelve pesado y la batería dura la mitad. Si llegaste aquí buscando “pc lenta minando criptomonedas”, probablemente estás en esa segunda categoría: sospechas cryptojacking (cuando usan tu CPU/GPU para minar crypto sin permiso).

En esta Parte 1 vas a lograr tres cosas sin perderte en tecnicismos:

  • Reconocer señales reales de cryptojacking (las que la gente nota en la vida real).
  • Distinguir si es “lentitud normal” o algo que se comporta como minado.
  • Hacer un diagnóstico rápido con herramientas que ya tienes en Windows, sin instalar nada raro.

1) Señales que suelen aparecer cuando una PC está “minando” sin permiso

No necesitas ser técnico para detectar esto. Las señales más repetidas en casos de sospecha de cryptojacking son:

  • CPU alta en reposo: abres el Administrador de tareas y ves 40%–90% de CPU sin estar renderizando, jugando o exportando video.
  • Ventilador como turbina incluso con solo el escritorio abierto.
  • Temperatura y calor anormal (en laptop se nota al tacto y porque se descarga más rápido).
  • Navegador pesado: Chrome/Edge se “come” la máquina, se cuelga, la RAM sube, aparecen pestañas o extensiones que no recuerdas.
  • Picos por momentos: parece que se calma… y de la nada vuelve a dispararse (muchos mineros se “esconden” cuando detectan que estás mirando).

Ojo: que la CPU suba no significa automáticamente “virus”. Lo importante es el patrón: sube cuando no haces nada y se repite.

2) “PC lenta normal” vs “me están minando”: cómo distinguirlo sin adivinar

Este filtro te ahorra horas y te evita caer en descargas peligrosas:

Cuando suele ser “normal”

  • La CPU sube durante unos minutos y luego baja (actualizaciones, indexación, antivirus escaneando).
  • La lentitud coincide con una tarea clara: abrir 30 pestañas, juegos, Zoom, edición de video.
  • El pico se ve en procesos conocidos de Windows y no se mantiene por mucho tiempo.

Cuando se parece a cryptojacking

  • CPU/GPU alta sostenida sin motivo claro.
  • El proceso “raro” cambia de nombre o aparece y desaparece.
  • La PC va lenta incluso con el navegador cerrado.
  • Al abrir el Administrador de tareas, por arte de magia baja el consumo (esto pasa cuando intentan ocultarse).

3) Diagnóstico rápido (sin instalar nada): encuentra al responsable

La idea aquí es simple: encontrar qué está consumiendo. No vamos a “arreglar” todavía, solo identificar el origen.

Paso 1: abre el Administrador de tareas y ordénalo por CPU

  1. Presiona Ctrl + Shift + Esc.
  2. En “Procesos”, haz clic en la columna CPU para ordenar de mayor a menor.
  3. Mira los 3 primeros procesos (los que más consumen).

Qué anotar (rápido): nombre del proceso, si está dentro de “Chrome/Edge” o si es un ejecutable suelto, y si el consumo se mantiene por más de 1–2 minutos.

Paso 2: identifica si el problema está en el navegador

Haz esta prueba muy simple:

  • Cierra Chrome/Edge por completo (no solo la X, asegúrate de que no quede abierto en segundo plano).
  • Espera 30–60 segundos mirando la CPU.

Interpretación:

  • Si al cerrar el navegador la CPU baja fuerte y se estabiliza, muchas veces el “minado” viene de una pestaña o una extensión.
  • Si la CPU sigue alta igual, es más probable que sea un proceso instalado o algo persistente.

Paso 3: si ves “Chrome” arriba, abre el Administrador de tareas del navegador

En Chrome: menú (⋮) → Más herramientas → Administrador de tareas. Ahí puedes ver qué pestaña o extensión está consumiendo. Si aparece una extensión que no recuerdas o un sitio raro consumiendo demasiado, ya tienes pista sólida.

4) Micro-checklist de señales “rojas” (cuando ya huele a infección)

  • Procesos con nombres raros (combinaciones de letras/números) y sin icono.
  • “Actualizadores” o “servicios” que no recuerdas haber instalado.
  • Extensiones tipo “Search Manager”, “PDF tool”, “Video downloader” que aparecieron solas.
  • El consumo baja apenas abres el Administrador de tareas (comportamiento evasivo).

Parte 2: cortar el minado (de verdad), limpiar el origen y blindar tu PC para que no vuelva

Si en la Parte 1 viste señales claras (CPU alta sin motivo, ventiladores a tope, procesos raros o Chrome consumiendo como loco), esta es la parte que realmente cambia el juego. Aquí no vamos a “adivinar”: vamos a cortar el minado y cerrar la puerta por donde entró.

Te lo digo como lo vive cualquiera que pasa por esto: lo más frustrante no es la lentitud… es sentir que tu PC ya no es tuya. Por eso el plan está ordenado para que no pierdas tiempo y no termines instalando “limpiadores milagro” que empeoran todo.

1) Corta el proceso sospechoso con cabeza (sin romper Windows)

Si en el Administrador de tareas identificaste un proceso que está devorando CPU/GPU, tienes dos escenarios:

Escenario A: el consumo está dentro del navegador (Chrome/Edge)

  • Tu primera acción no es “formatear”: es aislar pestaña o extensión.
  • Si una pestaña específica dispara CPU, ciérrala y anota el sitio.
  • Si una extensión aparece como la que consume, desactívala y luego elimínala.

Si sientes que el navegador “ya está contaminado” (se abre solo, cambió tu buscador, aparecen anuncios raros), Google recomienda usar la opción de restablecer configuración para recuperar el control.
Restablecer Chrome a la configuración predeterminada (Google).

Escenario B: el consumo sigue aunque cierres el navegador

Aquí ya hablamos de un proceso fuera del navegador: servicio, ejecutable o tarea programada. En ese punto, lo mejor es usar herramientas de Microsoft que están diseñadas para amenazas persistentes, en vez de perseguir nombres raros uno por uno.

2) El movimiento más efectivo cuando sospechas cryptojacking: Microsoft Defender Offline Scan

El Microsoft Defender Offline scan es potente porque reinicia el equipo y analiza desde un entorno “más limpio”, antes de que Windows cargue por completo. Eso dificulta que malware persistente se esconda o bloquee el escaneo.

Microsoft lo incluye dentro de las opciones de escaneo en Virus & threat protection en Windows Security.
Guía oficial: Virus & threat protection y tipos de escaneo.

Cómo usarlo (sin capturas, directo)

  1. Abre Windows Security.
  2. Entra a Virus & threat protection.
  3. Busca Scan options (opciones de examen).
  4. Elige Microsoft Defender Offline scan y ejecútalo.

Qué esperar: el equipo se reinicia y tarda unos minutos. Al volver a Windows, revisa “Protection History” para ver qué encontró y qué acciones tomó.

3) Segunda opinión oficial: Microsoft Safety Scanner (MSERT)

Si el comportamiento sigue raro (o si Defender offline encontró algo pero la PC aún está pesada), una buena “segunda capa” es el Microsoft Safety Scanner (MSERT). Es un escáner bajo demanda para detectar y quitar malware. No reemplaza tu antivirus permanente, pero sirve para limpiar casos complicados.

Descárgalo solo desde Microsoft:
Microsoft Safety Scanner (MSERT) – descarga oficial.

Regla de oro: si Google te muestra un botón de descarga “MSERT” en una web rara, sáltalo. En seguridad, el atajo suele ser trampa.

4) Si el origen es el navegador: limpia “extensiones” y restablece Chrome

En cryptojacking moderno, el navegador es una puerta enorme: extensiones falsas, adware y páginas que inyectan scripts. Si en la Parte 1 confirmaste que el consumo sube al abrir Chrome/Edge, haz esto:

A) Revisa extensiones con mentalidad de “cero confianza”

  • Elimina extensiones que no recuerdas instalar.
  • Desconfía de extensiones tipo: “PDF”, “Video downloader”, “Search”, “Coupon”, “VPN gratis”.
  • Si una extensión tiene permisos exagerados (“leer y cambiar todo lo que ves”), mejor fuera.

B) Restablece Chrome (acción segura y rápida)

Google explica cómo restablecer la configuración para volver a un estado limpio (sin que tengas que reinstalar todo manualmente).
Restablecer Chrome (Google).

Cuándo hacerlo: si el navegador se siente “poseído” (cambia tu buscador, abre pestañas, muestra anuncios raros), o si sospechas que la extensión no se va aunque la borres.

5) Verifica qué pasó (para no quedarte con dudas): Protection History

Después de los escaneos, revisa el historial de protección para ver detecciones y acciones. Microsoft explica dónde verlo y recuerda que los eventos se conservan por un tiempo limitado.
Protection History – guía oficial.

Qué mirar ahí

  • Si hubo amenazas detectadas y si quedaron en cuarentena.
  • Si aparece algo como PUA (aplicaciones potencialmente no deseadas): adware, barras, “optimizers”.
  • Si dice “remediation incomplete” (remediación incompleta), repite el escaneo offline.

6) Blindaje real (para que no te vuelvan a minar)

El cryptojacking casi siempre entra por dos vías: descargas dudosas o navegador. Estas medidas son simples, pero son las que realmente evitan recaídas:

  • No instales cracks, activadores o “keygens”. Si te prometen “premium gratis”, muchas veces te cobran con tu CPU.
  • No uses “optimizadores mágicos”. Si tu PC está lenta, esos programas suelen traer adware.
  • Actualiza Windows y el navegador. No por “perfeccionismo”, sino porque muchas infecciones aprovechan fallos viejos.
  • Desconfía de extensiones: instala solo lo necesario y revisa permisos.

FAQ (respuestas directas a dudas típicas)

¿Cryptojacking es un virus?

Puede ser malware instalado (minero persistente) o puede venir desde el navegador (script o extensión). En ambos casos, el objetivo es el mismo: usar tu equipo para minar sin permiso.

¿Me pueden minar solo por entrar a una web?

Es posible que una web ejecute scripts que consumen recursos mientras estás allí. Pero si tu CPU está alta incluso con el navegador cerrado, ya no es solo “una web”: ahí huele a algo instalado o persistente.

¿El minado daña mi PC?

Puede acelerar desgaste por calor (ventiladores, batería, rendimiento) y forzar componentes trabajando más de lo normal. Si tu equipo parece un horno “sin hacer nada”, no lo ignores.

Checklist final (si hoy sospechas que te están minando)

  • Confirma patrón: CPU/GPU alta sin motivo (Parte 1).
  • Si es navegador: revisa extensiones y restablece Chrome.
    Guía oficial.
  • Si es persistente: ejecuta Microsoft Defender Offline scan.
    Guía oficial.
  • Segunda opinión: usa MSERT desde Microsoft.
    Descarga oficial.
  • Revisa resultados: Protection History.
    Guía oficial.

 

Publicado el

Windows Defender desactivado: cómo activarlo y qué hacer si se apaga solo (Guía 2026)

Windows Defender

Cuando Windows Defender aparece desactivado, no es solo “un detalle”: es una señal de que tu PC quedó sin la capa básica de protección en tiempo real. A veces es normal (instalaste otro antivirus y Windows cambia el motor activo), pero otras veces es exactamente lo que hace el malware antes de intentar robar cuentas, minar crypto o meter anuncios raros.

En esta guía vas a conseguir 3 cosas, sin vueltas:

  • Entender por qué Defender se desactivó (causa legítima vs. señal de infección).
  • Activarlo correctamente desde Windows Security.
  • Hacer un escaneo fuerte si se vuelve a apagar o no te deja encenderlo.

Nota rápida: evita descargar “fixers”, cracks o supuestos “Defender activators”. Si Defender se apagó por malware, lo último que quieres es instalar más cosas de fuentes dudosas.

Señales típicas cuando Windows Defender está desactivado

Estas son las frases más comunes que la gente ve (y que suelen disparar búsquedas):

  • “Real-time protection is off” (protección en tiempo real desactivada).
  • “Virus & threat protection is turned off”.
  • El interruptor se enciende… y se vuelve a apagar solo.
  • La app de Seguridad dice que tu dispositivo no está protegido o que hay “acciones recomendadas”.

Microsoft documenta dónde ver y administrar estas opciones dentro de la sección Virus & threat protection de Windows Security, incluyendo los distintos tipos de escaneo (rápido, completo y el offline).
Ver guía oficial.

Por qué Windows Defender puede aparecer desactivado (las causas reales)

1) Instalaste otro antivirus (y Windows cambia el antivirus principal)

Este es el caso más común y, muchas veces, no es “hackeo”. Al instalar un antivirus de terceros, Windows puede desactivar Microsoft Defender como antivirus principal para evitar conflictos. Microsoft lo explica en sus recomendaciones de protección y seguridad del sistema.
Referencia oficial.

Cómo reconocerlo: en Windows Security suele aparecer el nombre del antivirus tercero como el proveedor activo. En ese escenario, Defender puede quedar como “limitado” o con opciones de escaneo periódico.

2) Cambios de configuración o servicios dañados

Actualizaciones, utilidades de “optimización” o ajustes agresivos pueden apagar servicios relacionados con seguridad. Si Defender se apaga pero vuelve a activarse después, Microsoft también menciona que la protección puede reactivarse automáticamente para mantenerte protegido.
Detalles en documentación de Microsoft.

3) Malware intentando desactivar la protección

Cuando el interruptor se apaga solo o no te deja activar “Real-time protection”, trátalo como señal de riesgo. Muchos tipos de malware intentan bajar defensas para persistir o ejecutar tareas (por ejemplo, minado silencioso o robo de sesiones del navegador).

Cómo activar Windows Defender (ruta rápida y correcta)

En Windows 10/11, Defender vive dentro de Windows Security. Esta es la ruta general que Microsoft describe:

  1. Abre Windows Security (busca “Seguridad de Windows” en el menú Inicio).
  2. Entra a Virus & threat protection.
  3. Ve a Manage settings (configuración de protección contra virus y amenazas).
  4. Activa Real-time protection.

Microsoft detalla estas secciones y los tipos de escaneo disponibles dentro de la misma pantalla.
Guía oficial de Virus & threat protection.

Tip útil: si tenías otro antivirus, revisa primero si sigue instalado. A veces queda medio desinstalado y provoca un “limbo” donde Defender no toma control y el otro tampoco protege.

Si se apaga solo o no te deja activarlo: lo que realmente funciona (sin “programitas milagro”)

En este escenario, lo más inteligente es asumir: “puede haber algo persistente”. Aquí hay dos herramientas/escaneos que suelen marcar diferencia porque vienen de Microsoft y están pensadas para casos difíciles.

Opción A: Microsoft Defender Antivirus (offline scan)

El offline scan reinicia el equipo y escanea desde un entorno más confiable, antes de que Windows cargue por completo, lo que dificulta que el malware se esconda o bloquee el análisis. Microsoft lo describe como una forma de detectar amenazas persistentes.
Dónde está el offline scan en Windows Security.

Cuándo usarlo: si Defender se apaga solo, si sospechas infección, si notas comportamiento raro (PC lenta de la nada, picos de CPU sin motivo, navegador abriendo pestañas, etc.).

Opción B: Microsoft Safety Scanner (MSERT) como “segunda opinión”

Microsoft Safety Scanner es una herramienta bajo demanda para buscar y quitar malware. No reemplaza el antivirus permanente, pero ayuda como escaneo puntual y profundo cuando sospechas compromiso. Descarga solo desde la fuente oficial de Microsoft:
Microsoft Safety Scanner (MSERT) – descarga oficial.

Regla de oro: evita descargas de MSERT desde páginas de terceros. Si te sale un resultado “más rápido” en Google con un botón gigante de descarga, sáltalo.

Cómo confirmar qué pasó: revisa el “Protection History” (esto te ahorra horas)

Cuando Defender bloquea algo, apaga un servicio o detecta una app potencialmente no deseada, suele quedar rastro en el Protection History. Ahí puedes ver acciones realizadas (cuarentena, bloqueos, advertencias).

Microsoft explica qué es Protection History y un detalle importante: solo conserva eventos por un periodo limitado, así que conviene revisarlo cuanto antes.
Protection History – guía oficial.

Qué buscar dentro de Protection History

  • Eventos que digan “Threat found”, “Remediation incomplete” o bloqueos repetidos.
  • Detecciones tipo PUA (Potentially Unwanted Applications): instaladores con adware, barras, “optimizers”.
  • Alertas de servicios críticos desactivados.

Errores que empeoran el problema (y por qué tanta gente cae)

1) Instalar cracks de “antivirus premium” o activadores

Si tu objetivo es seguridad, instalar cracks es como apagar el cinturón de seguridad para manejar más “cómodo”. Muchos vienen con adware o payloads.

2) Desactivar el firewall “para que funcione un programa”

Si una app no funciona, el enfoque sano es permitirla correctamente o revisar su integridad, no abrir toda la puerta.

3) Descargar herramientas de limpieza desde cualquier lado

Si vas a usar MSERT, usa solo el enlace oficial de Microsoft (arriba). Si vas a usar Offline Scan, hazlo desde Windows Security, sin “herramientas externas milagrosas”.

Preguntas rápidas (FAQ) que resuelven dudas típicas

¿Por qué Defender se desactiva cuando instalo otro antivirus?

Para evitar conflictos y doble escaneo. Windows puede dejar activo al antivirus de terceros como proveedor principal. Si desinstalas ese antivirus, Defender suele retomar control. Microsoft describe el enfoque de protección y cómo Windows Security centraliza estas funciones.
Referencia oficial.

¿Es normal que “Real-time protection” se vuelva a encender solo?

Sí. Microsoft menciona que la protección en tiempo real puede reactivarse automáticamente después de un rato para mantener el dispositivo protegido.
Detalles (Microsoft Learn).

¿Microsoft Safety Scanner reemplaza a Defender?

No. MSERT es un escáner bajo demanda para situaciones puntuales. Defender es la protección residente. Microsoft describe MSERT como herramienta para buscar y eliminar malware.
MSERT – descripción oficial.

Cierre práctico: qué haría yo si hoy veo “Windows Defender desactivado”

  • Primero: confirmo si instalé un antivirus de terceros (si sí, reviso que esté activo y legítimo).
  • Segundo: intento activar Defender desde Windows Security.
  • Tercero: si se apaga solo → corro Microsoft Defender Offline scan.
  • Cuarto: paso Microsoft Safety Scanner (MSERT) descargado desde Microsoft.
  • Quinto: reviso Protection History para entender qué estaba pasando.