¿Cómo detectar un keylogger? Guía práctica y pasos
Hay sensaciones que no fallan: el equipo actúa raro y aparece la sospecha de que alguien observa las pulsaciones. No se trata de pánico ni de soluciones milagro. Se trata de aplicar un método sencillo, preciso y repetible para confirmar si un keylogger está presente y, en caso afirmativo, eliminarlo sin regalar más tiempo al atacante.
Qué es un keylogger y por qué preocupa
Un keylogger registra lo que se escribe en el teclado. Puede ser software que se instala con un programa malicioso o hardware conectado entre el teclado y el ordenador. El peligro real: roba credenciales, números de tarjetas y mensajes privados sin producir un error visible. Por eso suele pasar desapercibido hasta que la cuenta ya está comprometida.
Síntomas visibles en el equipo
No siempre hay señales claras, pero hay indicios que merecen investigación. Detectar un keylogger exige juntar varias pistas: rendimiento, procesos en ejecución, conexiones de red y comportamientos extraños del teclado.
Rendimiento y procesos
Un equipo con keylogger puede mostrar:
- CPU o disco ocupados sin motivo aparente.
- Procesos desconocidos que se inician automáticamente.
- Servicios con nombres genéricos que no se reconocen.
Ver un proceso sospechoso no garantiza que sea un keylogger, pero sí obliga a investigar. Conviene comparar el nombre del ejecutable con el archivo en disco y su ubicación: muchos malware se esconden en carpetas temporales o con nombres que imitan componentes del sistema.
Comportamiento del teclado y pantalla
Puede haber pequeños fallos al escribir: retrasos, caracteres que aparecen en el lugar equivocado o ventanas emergentes tras introducir contraseñas. También se detectan conexiones de red inusuales justo después de escribir datos sensibles. Estos síntomas, combinados, aumentan la probabilidad de infección.
Revisión de archivos y registros
La inspección manual aporta contexto. Revisar carpetas y registros permite confirmar o descartar la sospecha.
Archivos y carpetas que conviene revisar
Examinar estos lugares aporta pistas:
- %AppData% y %Temp% en Windows: ubicación común para instalaciones furtivas.
- Carpetas del usuario con ejecutables recién creados o modificados.
- Unidades extraíbles: algunos keyloggers vienen en USBs encontrados o prestados.
Un archivo ejecutable con fecha reciente y sin firma digital legítima merece eliminación o, al menos, cuarentena para análisis.
Registros del sistema y eventos
Los registros (event viewer en Windows, syslog en Linux) suelen contener alarmas de instalación, arranque de servicios o errores relacionados. Buscar entradas coincidentes en el tiempo con el inicio de los síntomas ayuda a trazar la línea temporal del ataque.
Herramientas de detección y cómo usarlas
Usar herramientas no garantiza detección, pero aumenta las probabilidades. Conviene elegir una combinación: antivirus, anti-malware y escáneres especializados.
- Antivirus completo: realiza un escaneo profundo y detecta firmas conocidas.
- Anti-malware (ej. Malwarebytes): mejor en amenazas nuevas o adware.
- Herramientas de proceso (Process Explorer): muestran la ruta exacta del ejecutable y su firma.
- Monitores de red (Wireshark, TCPView): detectan saltos de datos tras teclear.
Consejo práctico: arrancar el equipo en modo seguro para reducir la actividad normal y facilitar la detección. Ejecutar un escaneo offline con un pendrive arrancable o desde un disco de rescate evita que el malware se oculte mientras corre.
Prevención y limpieza: pasos concretos
Una vez confirmado o con alta sospecha, actuar rápido y con método. La limpieza sin plan suele dejar backdoors.
Pasos rápidos para limpiar un equipo
- Desconectar el equipo de la red para evitar exfiltración inmediata.
- Crear copia de seguridad de archivos personales (sin ejecutar programas) en un disco externo.
- Arrancar en modo seguro o desde un live USB y ejecutar escaneos con varias herramientas.
- Cuarentenar o eliminar archivos detectados; si el sistema está comprometido, considerar reinstalar el sistema operativo.
- Cambiar contraseñas desde un dispositivo limpio y habilitar autenticación en dos pasos.
Si hay dudas sobre la integridad del dispositivo, la opción más segura sigue siendo la reinstalación completa y restauración de datos desde copias verificadas.
Comparaciones y mini-casos
Un par de ejemplos muestran diferencias prácticas:
Mini-caso A: Keylogger por phishing
Escenario: se abrió un adjunto con nombre convincente. Síntomas: inicio de sesión extraño en cuentas y proceso desconocido en segundo plano. Diagnóstico: el archivo adjunto instaló un ejecutable en %Temp% que enviaba registros a una IP extranjera. Solución: limpieza offline, cambio de contraseñas y bloqueo de la IP en el router.
Mini-caso B: Keylogger hardware
Escenario: equipo público o compartido. Síntomas: contraseñas robadas y sin archivos sospechosos en disco. Diagnóstico: dispositivo físico entre teclado y puerto USB. Solución: revisar puertos físicos, usar teclado en pantalla para operaciones críticas y denunciar acceso físico no autorizado.
Comparación rápida: el keylogger software deja rastro en procesos y red; el hardware no deja registros digitales. La solución técnica difiere: software requiere limpieza o reinstalación; hardware exige control físico y vigilancia.
Conclusión práctica
Detectar un keylogger exige combinar observación y herramientas. Si se detectan procesos inusuales, entradas de red tras teclear o archivos ejecutables recién creados, actuar sin dilación: desconectar, hacer copias y escanear en modo seguro. Para evitar sorpresas, habilitar la autenticación en dos pasos, mantener copias de seguridad limpias y revisar físicamente los puertos antes de usar equipos compartidos. Ninguna acción garantiza una protección absoluta, pero aplicar estas medidas reduce radicalmente la ventana de exposición y facilita la recuperación.
Un último recordatorio: los signos aislados no son prueba absoluta. Se recomienda documentar lo encontrado (nombres de procesos, rutas, marcas de tiempo) antes de borrar, para poder analizar y aprender de cada incidente.
