malware sin archivos malware : cómo actúan los atacantes sin archivos y cómo detenerlos

malware sin archivos malware una de las categorías de amenazas de más rápido crecimiento y más difíciles de detectar a las que se enfrentan hoy en día los equipos de seguridad. A diferencia del malware que descarga archivos ejecutables en el disco, los ataques sin archivos hacen uso indebido de herramientas de confianza del sistema operativo —PowerShell, WMI, .NET— para ejecutar código malicioso directamente en la memoria. El resultado es un ataque que deja un mínimo de rastros forenses, elude los antivirus basados en firmas y se mimetiza a la perfección con la actividad legítima del sistema. Según el estudio «State of Endpoint Security Risk» de 2017 del Ponemon Institute, los ataques sin archivos tenían aproximadamente 10 veces más probabilidades de tener éxito que los ataques basados en archivos, un hallazgo que, aunque antiguo, sigue siendo el punto de referencia más citado porque ningún estudio actualizado lo ha sustituido. Datos más recientes muestran que el problema se está acelerando. malware sin archivos han aumentado un 78 % entre 2024 y 2026, y las técnicas sin archivos y en memoria han crecido aproximadamente un 30 % interanual. Esta guía ofrece una visión exhaustiva y basada en pruebas de cómo malware sin archivos, las campañas reales que conforman el panorama actual de amenazas y las estrategias de detección por capas que realmente funcionan contra las amenazas residentes en memoria.

¿Qué es malware sin archivos?

malware sin archivos malware una categoría de actividad maliciosa que utiliza herramientas nativas y legítimas integradas en un sistema operativo —como PowerShell, WMI y .NET— para llevar a cabo ciberataques sin escribir archivos ejecutables tradicionales en el disco, operando principalmente en la memoria a través de procesos del sistema de confianza y eludiendo la detección basada en firmas.

Esa definición, aunque clara, simplifica en exceso una realidad llena de matices. El término «sin archivos» abarca un amplio espectro. La taxonomía oficial de amenazas sin archivos de Microsoft clasifica estas amenazas en tres tipos:

• Tipo I: sin actividad en los archivos. El ataque se desarrolla íntegramente en la memoria, sin interactuar con el sistema de archivos. El código shell inyectado en procesos y los scripts de PowerShell en memoria entran en esta categoría. Estos ataques se pierden al reiniciar el sistema, a menos que se combinen con un mecanismo de persistencia independiente.
• Tipo II: actividad indirecta con archivos. El ataque utiliza elementos legítimos del sistema de archivos —entradas del repositorio WMI, valores de los subárboles del Registro— como almacenamiento, pero nunca descarga un ejecutable tradicional. La puerta trasera POSHSPY WMI de APT29 es un ejemplo clásico.
• Tipo III: archivos necesarios para su funcionamiento. La entrega inicial utiliza archivos (macros, scripts, droppers), pero la carga útil se ejecuta íntegramente en memoria. La cadena del ransomware sin archivos de Storm-0249 encaja en esta categoría.

También es posible que te encuentres con términos sinónimos en la práctica. malware que opera únicamente en memoria,malware , los ataques sin huella y las técnicas «living off the land» (LOTL) describen conceptos que se solapan dentro de esta categoría de amenazas. La diferencia clave es que malware sin archivos malware una categoría más amplia, y LOTL es un subconjunto específico de técnicas dentro de ella.

malware sin archivos no malware un virus en el sentido tradicional. Los virus tradicionales se replican adhiriéndose a los archivos. malware sin archivos malware a través de procesos legítimos del sistema, lo que lo convierte en una categoría de amenaza fundamentalmente diferente que requiere métodos de detección distintos.

malware sin archivos frente al malware tradicional

Tabla: Diferencias clave entre malware sin archivos y malware tradicional

Cómo malware sin archivos

malware sin archivos malware un proceso de ataque en varias fases. Comprender cada una de estas fases —y las herramientas que utilizan los atacantes— es fundamental para desarrollar un sistema de detección eficaz.

Cadena típica de un ataque sin archivos:

1. Acceso inicial — Phishing , un exploit o la ingeniería social proporcionan el punto de entrada
2. Ejecución: PowerShell, WMI o .NET cargan código malicioso directamente en la memoria
3. Persistencia: las claves del Registro o las suscripciones a eventos WMI mantienen el acceso tras los reinicios
4. Movimiento lateral — Las herramientas de inyección de procesos y LOTL se extienden por la red
5. Mando y control y exfiltración — Los canales cifrados sacan los datos robados del entorno

PowerShell y la ejecución basada en scripts

PowerShell sigue siendo el principal medio de ejecución sin archivos en Windows. Los atacantes utilizan comandos codificados en Base64 que se envían directamente a PowerShell para descargar y ejecutar cargas útiles sin necesidad de crear ningún archivo. El T1059.001 Esta técnica es una de las que más se observan en las campañas del mundo real.

Un patrón típico consiste en que curl.exe o Invoke-WebRequest recuperen un script de un servidor remoto y lo canalicen directamente a powershell.exe -EncodedCommand para su ejecución en memoria. La Interfaz de Análisis Antimalware (AMSI) se diseñó para inspeccionar estos comandos en tiempo de ejecución, pero los atacantes siguen desarrollando técnicas para eludir las medidas de seguridad — lo que convierte a AMSI en una capa de defensa importante, aunque imperfecta.

El uso indebido de WMI añade otra dimensión. Los atacantes crean suscripciones a eventos WMI, es decir, desencadenantes permanentes que ejecutan código cuando se cumplen determinadas condiciones del sistema. La puerta trasera POSHSPY de APT29 almacenaba comandos cifrados de PowerShell dentro del propio repositorio WMI, y un filtro WMI activaba su ejecución periódica. Tal y como documentó el análisis de Mandiant, esto proporcionó a APT29 un acceso persistente y sin archivos, ejecutándose como SYSTEM y sin dejar rastros fuera del repositorio WMI.

Técnicas de inyección de procesos y técnicas residentes en memoria

Inyección en el proceso (T1055) es la MITRE ATT&CK más extendida MITRE ATT&CK . El informe Picus Red Report 2026, que analiza 1,1 millones malware , la situó en el primer puesto y reveló que el 80 % de las diez técnicas principales se centran en la evasión de las defensas, la persistencia y el comando y control.

Los atacantes inyectan código malicioso en el espacio de memoria de procesos en ejecución de confianza —RuntimeBroker.exe, svchost.exe, OneDrive.exe— para que la actividad maliciosa se ejecute bajo el contexto de un binario legítimo y firmado. La campaña DEAD#VAX de febrero de 2026 lo demostró con ofuscación de cuatro capas e inyección de procesos en procesos de Windows de confianza, utilizando archivos VHD alojados en IPFS para eludir por completo las protecciones de Mark-of-the-Web.

La persistencia basada en el Registro almacena cargas útiles codificadas en claves del Registro, lo que garantiza su supervivencia tras los reinicios y mantiene la carga útil fuera del sistema de archivos. La instalación paralela de DLL —en la que los atacantes colocan una DLL maliciosa junto a una aplicación legítima y firmada digitalmente— se ha convertido en una técnica muy utilizada. Storm-0249 se valió de un binario firmado por SentinelOne precisamente con este fin, convirtiendo el propio proceso de una herramienta de seguridad en un vector de ataque.

Técnicas sin archivos en Linux

malware sin archivos ya no malware un problema exclusivo de Windows. Los entornos Linux —que albergan la mayor parte de cloud empresariales cloud — se enfrentan a su propio conjunto de técnicas sin archivos:

• memfd_create — Una llamada al sistema de Linux que crea archivos anónimos en memoria y devuelve un descriptor de archivo que permite la ejecución sin intervenir en el sistema de archivos. El marco ShadowHS, descubierto en enero de 2026, utiliza memfd en toda su cadena de ejecución con cargas útiles cifradas con AES-256-CBC.
• ptrace — Una llamada al sistema que permite a un proceso manipular la memoria de otro, lo que facilita la inyección de código en Linux de forma similar a la inyección de procesos en Windows.
• /proc/self/mem — Escrituras directas en memoria a través del sistema de archivos proc que permiten modificar la carga útil de los procesos en ejecución.

La campaña de minería de criptomonedas sin archivos dirigida a PostgreSQL, llevada a cabo en abril de 2025, afectó a más de 1 500 servidores mediante la técnica «memfd», lo que puso de manifiesto que los ataques sin archivos pueden alcanzar una escala propia del cibercrimen común en infraestructuras Linux. Los atacantes utilizaron la diversificación de hash de los binarios por objetivo para eludir la detección basada en la reputación, un nivel de sofisticación que hasta entonces solo se asociaba a las amenazas persistentes avanzadas.

Tipos de malware sin archivos

Comprender la clasificación del malware sin archivos malware los equipos de seguridad malware desarrollar métodos de detección adecuados para cada variante. La tabla siguiente combina la taxonomía de Microsoft (Tipo I/II/III) con categorías basadas en técnicas y cloud emergentes cloud .

Tabla: Clasificación del malware sin archivos malware el tipo de ejecución y el mecanismo de persistencia

Ataques sin archivos en entornos Cloud y en contenedores

La expansión de las técnicas sin archivos a cloud supone una importante laguna en el sector de la ciberseguridad, así como una amenaza en rápido crecimiento. Cloud son especialmente vulnerables porque los contenedores son efímeros por naturaleza, lo que significa que el análisis tradicional basado en archivos tiene un valor limitado incluso frente malware convencional.

Entre los vectores de ataque cloud específicos cloud se incluyen:

• Aprovechamiento del entorno de ejecución de contenedores: los atacantes aprovechan vulnerabilidades que permiten escapar del contenedor para inyectar código en la memoria del host mediante memfd_create, eludiendo así el aislamiento del contenedor sin necesidad de escribir archivos
• Uso indebido de funciones sin servidor: el código malicioso inyectado en los entornos de ejecución de funciones sin servidor opera íntegramente en memoria, sin almacenamiento persistente
• Ataques al planoCloud : uso indebido de las API cloud y de credenciales robadas para ejecutar comandos en toda cloud sin implementar archivos
• Seguridad de Kubernetes Vulnerabilidades de sidecar: inyección de contenedores maliciosos como sidecars que ejecutan cargas útiles en memoria

VoidLink, un marco sin archivos cloud y asistido por IA descubierto en enero de 2026, es un claro ejemplo de esta evolución. Creado por un único desarrollador con la ayuda de un modelo de lenguaje grande —que, según se informa, generó unas 88 000 líneas de código—, VoidLink está dirigido a cloud con cadenas de ejecución sin archivos diseñadas específicamente para eludir las plataformas de protección cloud .

malware sin archivos malware la práctica

Las campañas reales de 2025 y 2026 demuestran cómo se utilizan las técnicas sin archivos en todas las principales superficies de ataque. Estos ejemplos —mucho más recientes que las anticuadas referencias de Poweliks (2014) y Kovter que aparecen en la mayoría de las guías de la competencia— reflejan la situación actual de las amenazas sin archivos.

Tabla: malware recientes malware sin archivos entre 2025 y 2026

Técnicas sin archivos en las cadenas de ataque del ransomware

La integración de técnicas sin archivos en las operaciones de ransomware se está acelerando. Según Recorded Future, los ataques de ransomware de los que se ha informado públicamente aumentaron hasta los 7.200 en 2025, frente a los 4.900 de 2024, lo que supone un incremento del 47 %. malware sin archivos en los kits de herramientas de ransomware han aumentado un 40 % (Gitnux, 2026), y el 93 % de las organizaciones ha sufrido al menos una intrusión preparada para el ransomware en los últimos 24 meses.

La campaña de Storm-0249 de diciembre de 2025 ilustra este patrón. La cadena de ataque utiliza ingeniería social de ClickFix para engañar a los usuarios y que ejecuten un comando de PowerShell. Ese comando descarga y ejecuta una carga útil sin archivos a través de curl.exe, canalizada a PowerShell; ningún archivo llega a tocar el disco. A continuación, la carga útil utiliza la carga lateral de DLL a través de un binario de seguridad firmado legítimamente para establecer la persistencia e implementar el ransomware. Todas las etapas previas a la carga útil de cifrado final aprovechan técnicas sin archivos, lo que hace que la detección temprana dependa del análisis de comportamiento en lugar del escaneo de archivos.

Detección y prevención malware sin archivos

La detección malware sin archivos malware un cambio fundamental: pasar de una seguridad basada en archivos a una basada en el comportamiento. Los antivirus tradicionales —que se basan en el análisis de archivos en busca de firmas conocidas— no pueden detectar código que nunca existe como archivo. Por eso, el 79 % de los ataques dirigidos en 2023 utilizaron binarios «living-off-the-land» (KnowBe4, 2025) y por eso el 54 % de la actividad de los atacantes se registra, pero solo el 14 % genera alertas (Picus Blue Report, 2025). La brecha de detección es real, pero se puede abordar con el enfoque adecuado.

Indicadores de comportamiento de los ataques sin archivos

La detección de amenazas basada en el comportamiento supervisa el comportamiento de los procesos, los parámetros de los comandos y los cambios en el sistema, en lugar de las firmas de los archivos. Los siguientes indicadores son específicos de malware sin archivos.

Tabla: Indicadores de comportamiento del malware sin archivos malware correspondencias de detección

Detección en red de amenazas sin archivo

Esta es la idea clave que ninguna otra guía aborda adecuadamente. malware sin archivos malware la detección en los puntos finales; ese es precisamente su objetivo. Sin embargo, malware sin archivos malware generando tráfico de red. Cada comunicación de comando y control, cada intento de movimiento lateral y cada caso de exfiltración de datos produce comportamientos observables en la red.

La detección y respuesta en red (NDR) ofrece una capa de detección complementaria que detecta lo que las herramientas de los dispositivos finales no detectan:

• Detección de patrones de señalización: los implantes sin archivo deben comunicarse con la infraestructura C2. El NDR identifica conexiones salientes periódicas y estructuradas, incluso cuando están cifradas.
• Conexiones inusuales iniciadas por PowerShell: el hecho de que los procesos de PowerShell establezcan conexiones HTTP/HTTPS salientes con infraestructura externa es anómalo en la mayoría de los entornos.
• Tráfico de movimiento lateral: el movimiento lateral a través de SMB, WMI o WinRM genera patrones de red característicos que el NDR puede detectar, independientemente de si el proceso en ejecución es sin archivos.
• Análisis del canal C2 cifrado: incluso sin descifrar los datos, el NDR puede identificar patrones sospechosos en el tráfico cifrado basándose en la sincronización, el tamaño de los paquetes y el comportamiento del destino.

La combinación de EDR y NDR proporciona visibilidad tanto en la capa de ejecución de los dispositivos finales como en la capa de comunicación de red, lo que permite cerrar la brecha que malware sin archivos.

Mejores prácticas de prevención

Aunque no existe una única medida que permita eliminar por completo malware sin archivos, las siguientes medidas encarecen considerablemente la tarea a los atacantes:

1. Habilita el registro de bloques de scripts de PowerShell (ID de evento 4104) y el registro de módulos para capturar toda la ejecución de PowerShell
2. Implementa el modo de lenguaje restringido de PowerShell a través de Windows Defender Application Control (WDAC): esto limita el acceso a los tipos .NET y a los objetos COM que suelen ser objeto de abuso por parte malware sin archivos, aunque existen técnicas para eludir esta restricción (MSBuild, retroceso a PowerShell v2).
3. Implementa una lista de aplicaciones permitidas mediante WDAC o AppLocker para restringir qué ejecutables y scripts se pueden ejecutar
4. Restringe el acceso a las herramientas administrativas siguiendo los principios del privilegio mínimo: limita quién puede ejecutar PowerShell, WMI y otras herramientas administrativas
5. Supervisar las suscripciones a eventos WMI: dado que la persistencia legítima de WMI es poco frecuente, cualquier nueva suscripción justifica una investigación
6. Implemente una solución NDR para obtener visibilidad a nivel de red de las comunicaciones C2 y los movimientos laterales
7. Llevar a cabo una búsqueda proactiva búsqueda proactiva de amenazas en busca de indicadores sin archivos: conexiones de red inusuales de PowerShell, suscripciones inesperadas a WMI y artefactos de inyección de procesos
8. Segmentar las redes para limitar el alcance del movimiento lateral tras un ataque sin archivos

En lo que respecta a la respuesta ante incidentes, hay que tener en cuenta que malware sin archivos malware una recopilación de pruebas volátiles. Se debe dar prioridad al análisis forense de la memoria, ya que el análisis forense del disco por sí solo no permite detectar los artefactos principales. Los manuales de respuesta ante incidentes específicos para el malware sin archivos deben incluir la captura de memoria como medida de primera respuesta.

malware sin archivos malware MITRE ATT&CK

Correlación de técnicas sin archivos con el MITRE ATT&CK permite una ingeniería de detección estructurada. En lugar de buscar ataques individuales, los equipos de seguridad pueden crear una cobertura de detección contra las técnicas específicas en las que malware sin archivos, creando defensas duraderas que funcionen contra futuras campañas, no solo contra las ya conocidas. Este enfoque se alinea con la metodología de la cadena de ataque cibernético, que consiste en interrumpir los ataques en cada etapa.

Tabla: MITRE ATT&CK que se utilizan habitualmente en malware sin archivos

Aspectos relacionados con el cumplimiento normativo

malware sin archivos se ajustan directamente a los requisitos de cumplimiento normativo de los principales marcos normativos.

Tabla: Tabla de correspondencias del marco de cumplimiento para los controles malware sin archivos

Enfoques modernos para malware sin archivos

El panorama de la detección está evolucionando en respuesta a las amenazas sin archivos. Tres tendencias convergentes están transformando la forma en que las organizaciones se defienden contra los ataques residentes en memoria.

En primer lugar, la integración integra las señales de los endpoints, la red y las identidades en un canal de detección unificado. Los ataques sin archivos que eluden cualquier capa de detección individual siguen generando comportamientos observables en múltiples capas. La correlación entre una ejecución anómala de PowerShell en un endpoint y un tráfico C2 saliente inusual en la red produce una señal de alta fiabilidad que ninguna de las capas logra por sí sola.

En segundo lugar, el análisis de comportamiento están madurando están madurando más allá de la simple detección basada en reglas. Las organizaciones que implementan defensas basadas en IA ahorran una media de 1,9 millones de dólares por incidente, en comparación con aquellas que no lo hacen (agregación de investigaciones de seguridad, 2025). Estos sistemas aprenden los comportamientos de referencia y señalan las desviaciones, exactamente el enfoque necesario contra las amenazas sin archivos que se camuflan entre las operaciones legítimas.

En tercer lugar, la propia amenaza está evolucionando. El análisis «Cyber Insights 2026» de SecurityWeek destaca los ataques polimórficos sin archivos impulsados por IA como una tendencia emergente, siendo PromptFlux y PromptSteal las primeras malware confirmadas que utilizan consultas a modelos de lenguaje grande (LLM). El uso que hace VoidLink de la asistencia de los LLM en el desarrollo de su marco de trabajo —que generó aproximadamente 88 000 líneas de código— indica que la IA está reduciendo las barreras para crear herramientas sofisticadas sin archivos.

Cómo Vectra AI malware sin archivos

El enfoque Vectra AI para malware sin archivos se basa en la filosofía de «asumir que el sistema está comprometido» y en Attack Signal Intelligence. En lugar de basarse en firmas o indicadores basados en archivos, la plataforma analiza los patrones de comportamiento en cloud de red y cloud para identificar las comunicaciones de comando y control, el movimiento lateral y la exfiltración de datos que los ataques sin archivos generan inevitablemente, incluso cuando se eluden las herramientas de detección de endpoints. Este análisis de comportamiento a nivel de red, respaldado por 35 patentes de IA y 12 referencias en MITRE D3FEND, proporciona una capa de detección crítica que complementa la cobertura de EDR y cierra la brecha de visibilidad de malware sin archivos.

Tendencias futuras y consideraciones emergentes

malware sin archivos está entrando en una nueva fase impulsada por las capacidades de la inteligencia artificial tanto en el ámbito ofensivo como en el defensivo. En los próximos 12 a 24 meses, los equipos de seguridad deben prepararse para varios cambios.

Los ataques sin archivos impulsados por IA serán cada vez más sofisticados y accesibles. El descubrimiento de PromptFlux y PromptSteal —las primeras malware confirmadas que consultan activamente grandes modelos de lenguaje durante su funcionamiento— marca un giro hacia malware se adapta en tiempo real. VoidLink demostró que un solo desarrollador, con la ayuda de un LLM, puede crear marcos sin archivos de nivel empresarial. A medida que estas herramientas se extiendan, el volumen de ataques sin archivos aumentará, incluso aunque disminuya el nivel de habilidad necesario para lanzarlos.

Las técnicas sin archivosCloud cobrarán impulso. A medida que las organizaciones migren más cargas de trabajo a entornos contenedorizados y sin servidor, los atacantes les seguirán. La explotación del entorno de ejecución de contenedores a través de memfd, el uso indebido cloud y los ataques dirigidos a Kubernetes representan la próxima frontera del malware sin archivos. Las organizaciones deben evaluar sus estrategias de protección cloud para obtener visibilidad sobre las amenazas residentes en la memoria, y no solo sobre las vulnerabilidades basadas en archivos.

Los marcos normativos endurecerán los requisitos para la detección avanzada de amenazas. La Directiva NIS2 de la UE y los requisitos en constante evolución de la norma PCI DSS v4 ya están ampliando el alcance de lo que se considera malware adecuada malware . Las capacidades de detección específicas para amenazas sin archivo —como el análisis de comportamiento, el escaneo de memoria y la detección de anomalías en la red— se convertirán cada vez más en requisitos de cumplimiento normativo, en lugar de ser mejoras opcionales.

malware dedicado a la extracción de datos de la memoria malware en una categoría de amenaza diferenciada. Dado que, cada vez más, los datos residen en la memoria durante su procesamiento (incluidos los datos confidenciales de los modelos de IA), los atacantes se centrarán directamente en el contenido de la memoria, pasando de utilizarla como entorno de ejecución a tratarla como un objetivo para la extracción de datos.

Las organizaciones que inviertan ahora en la detección de comportamientos por capas —en terminales, redes y cloud — estarán en condiciones de hacer frente a estas amenazas emergentes sin necesidad de una revisión completa de su arquitectura.

Conclusión

malware sin archivos malware uno de los mayores retos de detección a los que se enfrentan las operaciones de seguridad actuales. Al hacer un uso indebido de herramientas fiables del sistema operativo y ejecutarse íntegramente en memoria, estos ataques eluden los sistemas de detección basados en archivos en los que el sector de la seguridad ha confiado durante décadas. Las campañas aquí documentadas —desde EggStreme hasta ShadowHS y Storm-0249— demuestran que las técnicas sin archivos abarcan ahora cloud Windows, Linux y cloud , y son utilizadas tanto por actores estatales como por ciberdelincuentes comunes.

La defensa es clara, pero requiere una inversión deliberada. Las organizaciones necesitan una detección basada en el comportamiento en múltiples niveles que combine la visibilidad de los puntos finales con el análisis a nivel de red. Las herramientas basadas únicamente en firmas crean una falsa sensación de seguridad. El análisis del comportamiento, el NDR, la búsqueda proactiva de amenazas y MITRE ATT&CK estructurada MITRE ATT&CK proporcionan la detección integral que malware sin archivos.

Los equipos de seguridad que deseen subsanar las deficiencias en la detección de amenazas sin archivos pueden descubrir cómo la solución Attack Signal Intelligence Vectra AI ofrece detección basada en el comportamiento encloud híbridos ycloud , detectando los ataques que otras herramientas pasan por alto.