Hace unos años, pensábamos que proteger nuestros sistemas implicaba detectar virus, troyanos o archivos ejecutables sospechosos. Pero hoy, los ataques sin archivos maliciosos han transformado ese panorama. El CrowdStrike Global Threat Report 2025 destaca que estos ataques fileless ya representan más del 70% de las intrusiones avanzadas detectadas en entornos corporativos.
Lo más preocupante es que este tipo de ataques no dejan rastros evidentes, lo que complica su detección y respuesta.
¿Qué son los ataques sin archivos maliciosos?
Son ciberataques que no utilizan archivos ejecutables tradicionales para infectar un sistema. En lugar de eso, se aprovechan de herramientas legítimas del propio sistema operativo, como PowerShell, WMI o scripts en memoria, para ejecutar su carga maliciosa directamente en RAM.
Esto significa que:
- No hay archivos sospechosos en el disco.
- Los antivirus tradicionales no detectan nada.
- El comportamiento se parece al de un usuario legítimo.
Ejemplos comunes de ataques fileless
PowerShell malicioso
Comandos ejecutados directamente en PowerShell para descargar payloads, crear puertas traseras o exfiltrar datos.
Living off the Land (LotL)
Uso de herramientas como certutil, mshta o wmic que ya están presentes en el sistema para ejecutar código malicioso.
Inyección en procesos legítimos
Los atacantes cargan su código en procesos confiables como explorer.exe o svchost.exe para esconderse.
Macros y scripts en memoria
Documentos de Office con macros que ejecutan código sin guardar archivos en disco.
Malware sin archivo persistente
Uso de técnicas como Reflective DLL Injection o ataques basados en registros de eventos para mantener persistencia sin archivos.
¿Por qué estos ataques son tan difíciles de detectar?
- Evitan dejar huellas en el disco.
- No generan alertas tradicionales en antivirus.
- Aprovechan herramientas de uso cotidiano.
- Pueden ejecutarse en segundos y desaparecer.
Por eso, la detección basada en comportamiento, memoria y correlación de eventos se ha vuelto imprescindible.
¿Qué sectores son más vulnerables a los ataques sin archivos maliciosos?
Basado en los datos del CrowdStrike Global Threat Report 2025, los sectores más afectados por ataques sin archivos maliciosos son aquellos que:
- Dependen de sistemas Windows antiguos sin hardening actualizado.
- Operan con múltiples usuarios con privilegios elevados, como equipos técnicos o de soporte remoto.
- Utilizan macros o automatizaciones en documentos compartidos, como el sector financiero, educativo o de administración pública.
En particular, se ha visto un aumento significativo en:
- Sanidad: los atacantes aprovechan la urgencia operativa para ejecutar payloads directamente en memoria y cifrar sistemas sin dejar rastros iniciales.
- Educación: universidades y centros de formación suelen tener políticas de acceso más laxas, con múltiples scripts corriendo en segundo plano.
- Administración pública: entornos legacy, uso de macros y herramientas ofimáticas aumentan la superficie de ataque.
Conocer el nivel de exposición de tu sector es el primer paso para diseñar una defensa proactiva.
¿Cómo protegerse de los ataques sin archivos maliciosos?
Activar políticas de restricción de scripts
Con AppLocker o Windows Defender Application Control puedes limitar el uso de PowerShell o scripts no firmados.
Monitorizar actividad en memoria y procesos
Soluciones EDR (Endpoint Detection & Response) permiten identificar ejecuciones sospechosas en tiempo real.
Segmentar privilegios de usuarios
Evita que usuarios sin necesidad tengan acceso a herramientas administrativas o privilegios elevados.
Uso de honeypots y trampas de comportamiento
Detectar actividad anómala a través de archivos señuelo o respuestas simuladas.
Formación continua a usuarios
Muchos ataques fileless comienzan con un clic en un documento o un correo. La concienciación es clave.
FAQs sobre ataques sin archivos maliciosos
¿Qué antivirus detecta estos ataques?
Pocos. Se necesita un EDR avanzado con análisis en tiempo real de procesos y memoria.
¿Qué sistemas operativos son más vulnerables?
Windows, por su amplia compatibilidad con PowerShell y herramientas administrativas, aunque Linux también puede ser objetivo.
¿Qué relación tienen estos ataques con LotL?
Son complementarios. Los ataques fileless suelen usar técnicas LotL para ejecutar código sin generar archivos.
¿Puede una auditoría detectar estos ataques a posteriori?
Solo si se cuenta con un sistema de logging detallado de eventos en memoria y herramientas como Sysmon activadas.
Conclusión
Los ataques sin archivos maliciosos representan uno de los mayores desafíos actuales en ciberseguridad. No se ven, no se almacenan y no activan alertas básicas. Solo una estrategia de defensa avanzada, basada en el comportamiento y la visibilidad completa del sistema, puede hacerles frente.
Aprende a rastrear lo invisible y responder como un profesional
En el Bootcamp de Ciberseguridad, aprenderás a identificar ataques fileless, configurar entornos resistentes y usar herramientas avanzadas como EDR, Sysmon y análisis de memoria. KeepDefending, KeepCoding.
