Recuperar datos perdidos por virus o malware (no ransomware)

Más allá del ransomware: el malware que destruye datos sin pedir rescate

Cuando se habla de pérdida de datos por software malicioso, la conversación suele girar en torno al ransomware: el malware que cifra los archivos y exige un pago para recuperarlos. Sin embargo, existe una categoría igualmente devastadora pero menos conocida: el malware que destruye, corrompe o elimina datos directamente, sin cifrado ni rescate.

Estos programas maliciosos no tienen motivación económica directa; su objetivo es el sabotaje, el espionaje destructivo o simplemente causar el mayor daño posible. Para la víctima, el resultado es idéntico o peor que el ransomware: los datos desaparecen o se vuelven ilegibles, y no existe ninguna clave de descifrado que pueda recuperarlos.

Tipos de malware destructivo (no ransomware)

Wipers: el borrado intencional

Los wipers son la categoría más agresiva. Su único objetivo es destruir datos de forma irrecuperable. Los más conocidos son:

• Shamoon (Disttrack): detectado por primera vez en 2012 en ataques a Saudi Aramco, destruyó datos en más de 30.000 ordenadores sobrescribiendo el MBR y los archivos. Reapareció en 2016 y 2018 con nuevas variantes. Sobrescribe los primeros 640 KB del disco, haciendo inútil el sistema operativo.
• NotPetya: aunque inicialmente clasificado como ransomware, NotPetya (2017) era en realidad un wiper disfrazado. Sobrescribía el MBR y la tabla de archivos MFT sin posibilidad real de descifrado. Causó daños estimados en más de 10.000 millones de dólares a nivel global.
• WhisperGate (2022): utilizado en ataques contra infraestructuras, sobrescribía el MBR con un mensaje falso de ransomware y en una segunda fase corrumpía archivos con extensiones específicas.
• HermeticWiper: también activo en 2022, utilizaba drivers legítimos de gestión de disco para acceder directamente al hardware y sobrescribir sectores críticos eludiendo la protección del sistema operativo.

Virus de sector de arranque (MBR/VBR)

Los virus de sector de arranque infectan el Master Boot Record (MBR) o el Volume Boot Record (VBR) del disco. El MBR contiene el código que el BIOS ejecuta al arrancar y la tabla de particiones. Si el MBR está corrupto o infectado, el sistema operativo no puede cargarse y todas las particiones del disco parecen desaparecidas.

Algunos virus históricos de este tipo (Stone, Stoned, Michelangelo) se limitaban a corromper el MBR. Los modernos, como algunas variantes de Petya antes de su evolución a wiper, cifraban el MFT (Master File Table) de NTFS, haciendo ilegibles todos los nombres de archivos y la estructura de directorios aunque el contenido de los archivos permaneciera intacto en el disco.

Rootkits con capacidad de corrupción de datos

Los rootkits operan a nivel de kernel o de firmware, interceptando las llamadas al sistema de forma completamente transparente para el usuario y el antivirus. Algunos rootkits avanzados —como los de tipo bootkit que infectan el UEFI— pueden:

• Modificar datos en tránsito entre el sistema de archivos y las aplicaciones.
• Corromper archivos específicos de forma silenciosa.
• Activar la corrupción deliberada de datos al detectar intentos de análisis forense.
• Formatear particiones como mecanismo de autodestrucción al desinstalarse.

Software falso de recuperación de datos (scareware)

Una categoría especialmente peligrosa es el scareware de recuperación: programas que se presentan como herramientas de recuperación de datos y que, al ejecutarlos, en lugar de recuperar datos:

• Sobrescriben el espacio libre del disco, destruyendo los datos eliminados que aún podían recuperarse.
• Realizan escrituras masivas que fragmentan y corrompen archivos parcialmente recuperables.
• Instalan capas adicionales de malware que complican la recuperación posterior.

Ejemplos conocidos incluyen variantes de «HDD Repair», «System Fix», «Data Recovery» falsos y docenas de aplicaciones similares distribuidas por publicidad maliciosa. El daño que causan al intentar «recuperar» los datos es frecuentemente mayor que el del virus original.

Malware que corrompe FAT y MFT

El sistema de archivos FAT (y su sucesor exFAT) utiliza una tabla de asignación de archivos para rastrear qué sectores pertenecen a cada archivo. El sistema NTFS utiliza la MFT (Master File Table). Algunos malware atacan específicamente estas estructuras:

• Corrupción de la FAT: los archivos parecen eliminados aunque el contenido sigue en el disco, pero sin el mapa de asignación, los archivos fragmentados son irrecuperables mediante herramientas estándar.
• Cifrado parcial de la MFT: técnica usada por variantes de Petya. La MFT contiene los metadatos de cada archivo (nombre, tamaño, fechas, ubicación). Sin ella, el disco aparece vacío aunque contenga todos los datos.

Por qué se necesita un entorno limpio para la recuperación

El error más común tras una infección de malware destructivo es intentar la recuperación desde el mismo sistema infectado o conectar el disco afectado a un ordenador sin protección adecuada. Las razones para hacerlo en un entorno controlado son:

1. El malware puede seguir activo: algunos wipers tienen mecanismos de persistencia que continúan su actividad destructiva si detectan acceso al disco.
2. Riesgo de contagio: conectar el disco infectado puede propagar el malware al sistema de recuperación, comprometiendo las herramientas y los datos ya recuperados.
3. Las escrituras matan los datos: cualquier sistema operativo que monte el disco puede escribir en él (journaling, swap, thumbnails), sobreescribiendo datos recuperables.
4. Análisis forense primero: antes de intentar ninguna recuperación, es necesario crear una imagen forense del disco en modo solo lectura (read-only) para preservar el estado exacto y poder hacer múltiples intentos sin riesgo.

Proceso de recuperación tras infección de malware no ransomware

1. Aislamiento inmediato: desconectar el equipo de la red y apagarlo. No reiniciar —el reinicio puede activar la segunda fase del malware.
2. Imagen forense: en el laboratorio, el disco se conecta a través de un bloqueador de escritura hardware y se genera una imagen sector a sector.
3. Análisis del tipo de malware: identificación de qué estructuras han sido dañadas (MBR, MFT, FAT, archivos individuales) para determinar la estrategia de recuperación.
4. Reconstrucción de estructuras del sistema de archivos: en casos de MBR/MFT dañado, se reconstruyen las estructuras con herramientas especializadas (ReclaiMe, UFS Explorer, PC-3000).
5. Carving de archivos: si la FAT/MFT no puede reconstruirse, se realiza búsqueda de firmas de archivos (file carving) en el espacio de datos para recuperar archivos por su contenido.
6. Entrega en soporte limpio: los datos recuperados se entregan en un disco externo nuevo, libre de malware, con informe detallado de lo recuperado.

Precios de recuperación tras malware destructivo

El diagnóstico es gratuito y determinará con precisión qué porcentaje de los datos es recuperable antes de emitir cualquier presupuesto.

Si tu equipo ha sufrido una infección de malware y has perdido el acceso a tus datos, solicita diagnóstico gratuito. Analizamos el disco en un entorno totalmente aislado y te indicamos qué es recuperable antes de iniciar ningún proceso.

Te puede interesar

• › Recuperar datos después de un virus o malware: guía completa
• › Recuperar datos borrados o dañados por virus o malware: guía completa
• › RAID fallido: guía de emergencia para empresas
• › Recuperar datos NAS QNAP: RAID, firmware y ransomware [2026]