Recuperación de Datos Tras Ataque de Virus o Malware
No todo malware cifra los datos para pedir rescate: existen virus y malware destructivo que borran, sobreescriben o corrompen archivos sin dejar opción de pago. Si su sistema ha sufrido un ataque de malware y ha perdido datos, no reinstale Windows antes de intentar la recuperación: es el error más frecuente y el que más datos destruye de forma irreversible.
Malware destructivo vs. ransomware: diferencias clave para la recuperación
Cuando la mayoría de las personas escucha «pérdida de datos por virus», piensa inmediatamente en ransomware. Sin embargo, existen varias categorías de malware que producen pérdida de datos sin cifrarlos ni exigir rescate, y que tienen implicaciones muy diferentes para la recuperación:
| Tipo de malware | Qué hace con los datos | Posibilidad de recuperación |
|---|---|---|
| Ransomware (ej. LockBit, BlackCat) | Cifra los archivos con clave AES/RSA | Solo con clave del atacante o backup previo |
| Wiper (ej. Shamoon, NotPetya, HermeticWiper) | Sobreescribe archivos y MBR/MFT con datos basura | Parcial, según grado de sobreescritura |
| Virus de sobreescritura (ej. CIH/Chernobyl) | Sobreescribe el inicio de cada archivo ejecutable | Alta para archivos de datos no ejecutables |
| Rootkit MBR (ej. Mebroot, TDL4) | Reemplaza el MBR o la tabla de particiones | Muy alta: los datos del disco permanecen intactos |
| Malware de exfiltración + borrado | Copia los datos al atacante y luego los borra | Alta si no se ha sobreescrito el espacio libre |
| Malware de daño de sistema de ficheros | Corrompe la MFT, FAT o estructura de directorios | Muy alta mediante reconstrucción del sistema de ficheros |
La buena noticia es que, salvo en el caso del ransomware con clave no disponible y los wipers más sofisticados, la mayoría del malware destructivo permite una recuperación parcial o total de los datos de usuario.
Wipers: el malware más destructivo
Los wipers son malware diseñado específicamente para destruir datos de forma permanente, habitualmente como parte de operaciones de ciberguerra o sabotaje industrial. Los ejemplos más conocidos incluyen:
- Shamoon (2012, 2016, 2018): atacó infraestructuras críticas de Oriente Medio. Sobreescribía el MBR con un stub personalizado y luego sobreescribía todos los archivos del sistema con la imagen de una bandera en llamas. La sobreescritura comenzaba por las rutas de mayor impacto operacional.
- NotPetya (2017): aunque se propagó disfrazado de ransomware, no tenía capacidad real de descifrado. Cifraba la MFT de NTFS y el MBR con una clave generada localmente y descartada inmediatamente, haciendo imposible el descifrado incluso con pago. Causó daños estimados en 10.000 millones de dólares globalmente.
- HermeticWiper / WhisperGate (2022): utilizado en el conflicto de Ucrania. Corrompía el MBR y luego sobreescribía archivos de forma selectiva por tipo y localización, priorizando documentos, bases de datos y archivos de configuración de sistemas SCADA.
En incidentes de wiper, las posibilidades de recuperación dependen de hasta qué punto el malware completó su ejecución antes de ser detectado. Si el sistema fue apagado o aislado durante la fase de sobreescritura, es posible recuperar los archivos que aún no habían sido procesados.
Virus de sobreescritura: CIH y variantes
Los virus de sobreescritura clásicos infectan ejecutables (.exe, .dll, .com) sobreescribiendo los primeros bytes del archivo con su propio código. Esto destruye los ejecutables del sistema operativo y las aplicaciones, pero los archivos de datos del usuario (documentos, fotos, vídeos, bases de datos) generalmente permanecen intactos porque estos virus no los reconocen como huéspedes válidos.
En estos casos, el sistema no arranca o muestra errores de ejecución generalizados, pero una recuperación orientada específicamente a los datos de usuario (no a los ejecutables del sistema) tiene tasas de éxito muy elevadas.
Rootkits de MBR: los datos del usuario permanecen intactos
Los rootkits que atacan el Master Boot Record (MBR) o el sector de arranque de la partición sustituyen el código de arranque del disco para cargarse antes que el sistema operativo, ocultando su presencia. Ejemplos como Mebroot, TDL4 (Alureon) o TDSS modifican exclusivamente los sectores de arranque.
El impacto sobre los datos del usuario es prácticamente nulo: los archivos del sistema de ficheros no son modificados. La recuperación en estos casos se reduce a restaurar el MBR correcto (con bootrec /fixmbr o equivalente), tarea que no requiere ningún proceso de recuperación de datos propiamente dicho. Sin embargo, antes de ejecutar cualquier herramienta de reparación, conviene hacer una imagen forense del disco para preservar evidencias del ataque.
Malware de exfiltración con borrado posterior
Un patrón creciente en ciberataques dirigidos es la exfiltración de datos sensibles seguida de su borrado en el equipo víctima, como forma de extorsión adicional (o como cobertura del robo). El malware copia los archivos a servidores controlados por el atacante y luego los elimina del disco local.
Si el borrado se realizó mediante las funciones estándar del sistema operativo (eliminación a la papelera de reciclaje, o borrado con del/rm sin parámetros de sobreescritura), los datos permanecen en el disco hasta que el espacio es reutilizado por nuevas escrituras. La recuperación mediante carving del sistema de ficheros o análisis de la $MFT de NTFS puede recuperar entre el 60 % y el 95 % de los archivos, dependiendo del tiempo transcurrido y la actividad del sistema desde el incidente.
Por qué NO debe reinstalar Windows antes de intentar la recuperación
Este es el error más costoso y más frecuente que cometen los usuarios y los técnicos generalistas tras un incidente de malware. Reinstalar Windows implica:
- Sobreescritura del sector de arranque: el proceso de instalación escribe un nuevo MBR y sectores de arranque, destruyendo la evidencia del malware y potencialmente dañando la tabla de particiones si el instalador no detecta correctamente las particiones existentes.
- Escritura masiva de archivos del sistema: el instalador escribe decenas de miles de archivos en el disco, sobreescribiendo el espacio libre donde residían los datos eliminados por el malware. Cada archivo del sistema instalado reduce las posibilidades de recuperación de datos borrados.
- Posible reformateo de la partición: si el técnico elige «Instalación limpia» y formatea la partición, la recuperación se vuelve mucho más difícil (aunque no imposible mediante análisis de sectores brutos).
- Destrucción de evidencias forenses: si el incidente tiene implicaciones legales o de seguro, la reinstalación destruye la cadena de evidencias necesaria para la investigación.
La acción correcta es apagar el equipo, desconectarlo de la red y contactar con un especialista en recuperación de datos. Si necesita seguir trabajando, use otro equipo o dispositivo mientras el afectado se envía al laboratorio.
Daño al sistema de ficheros causado por malware
Algunas familias de malware, especialmente ransomware fallido o malware con bugs en su código, pueden corromper la Master File Table (MFT) de NTFS o la tabla FAT/exFAT sin completar el cifrado o el borrado de los datos. El resultado es un disco con los datos físicamente intactos pero con el sistema de ficheros ilegible.
En estos casos, recuperamos los datos mediante:
- Reconstrucción de la MFT a partir de los registros $MFT y $MFTMirr.
- Análisis de journaling del log NTFS ($LogFile, $UsnJrnl) para reconstruir el estado del sistema de ficheros antes del ataque.
- File carving mediante búsqueda de firmas de tipo de archivo directamente en el espacio de datos, sin depender de la estructura de directorios.
Implicaciones forenses: preserve el estado del sistema
Si el incidente de malware puede tener implicaciones legales (denuncia ante la Policía Nacional, reclamación de seguro cibernético, investigación interna), es fundamental preservar el estado del sistema antes de cualquier intervención técnica. Nuestro laboratorio puede proporcionar:
- Imagen forense certificada del disco según estándares NIST/ACPO.
- Informe técnico del incidente con hash MD5/SHA-256 verificado.
- Preservación de la cadena de custodia.
La recuperación de datos y el análisis forense pueden realizarse en paralelo sobre la imagen forense, sin alterar el disco original.
WhatsApp