Cómo encontrar un keylogger oculto: guía práctica para detectarlo
Un keylogger es un tipo de malware diseñado para registrar pulsaciones de teclado, capturar credenciales, guardar mensajes y, en algunos casos, tomar capturas de pantalla. Su objetivo suele ser esconderse en el sistema para que el usuario no lo detecte. Por eso, encontrarlo puede requerir revisar procesos, servicios, permisos, red y archivos sospechosos.
La primera señal de alerta es un rendimiento anormal: el equipo se pone más lento, la batería se agota antes de lo normal, se escuchan ruidos extraños en el disco o se observan picos de uso de CPU y memoria sin explicación. Un keylogger puede estar ejecutándose en segundo plano y consumiendo recursos cada vez que se escribe algo.
Otra señal frecuente es el uso inusual de la red. Si notas que, aunque no estás usando Internet, hay actividad constante de salida, o si el navegador muestra conexiones a dominios desconocidos, puede haber un intento de exfiltración de datos. Algunos keyloggers envían el registro de pulsaciones a servidores remotos de forma periódica.
También hay que vigilar cambios en el sistema: archivos nuevos sin origen claro, servicios desconocidos, permisos añadidos a programas que no deberían tenerlos, o tareas programadas que se ejecutan al iniciar la sesión. En Windows, muchas de estas anomalías pueden revisarse con el Administrador de tareas, el Visor de eventos, el Centro de seguridad y herramientas de diagnóstico.
En macOS y Linux, el comportamiento puede ser similar: procesos persistentes, scripts de inicio, extensiones de red o permisos de administrador concedidos a aplicaciones que no las necesitan. En móviles, los keyloggers suelen llegar mediante apps con permisos excesivos, perfiles de administración o accesibilidad, por lo que revisar la lista de aplicaciones y permisos es clave.
Un buen método de detección empieza por aislar el equipo: desconectarlo de la red, evitar iniciar sesión en cuentas bancarias o correo mientras se investiga, y trabajar desde otro dispositivo limpio si es posible. Esto impide que el malware siga enviando datos o recibiendo instrucciones durante el análisis.
Luego conviene revisar proceso a proceso. En Windows, el Administrador de tareas permite ver procesos activos, abrir su ubicación en disco y buscar en línea el nombre del ejecutable. Si un proceso tiene un nombre genérico, una ruta extraña o no pertenece a Microsoft ni a software conocido, es sospechoso. En macOS, la Monitorización de actividad cumple una función similar.
Además de los procesos, hay que inspeccionar servicios y tareas programadas. Un keylogger suele instalarse para arrancar automáticamente con el sistema. Si aparece un servicio o tarea con un nombre aleatorio, sin firma digital, o que apunta a una carpeta temporal, es una señal fuerte de infección. En Linux, se revisan systemd, cron jobs y archivos de inicio.
La revisión de la red también es importante. Puedes usar herramientas como netstat, Resource Monitor, Wireshark o el propio panel de redes para identificar conexiones salientes a direcciones IP o dominios que no reconozcas. Si el equipo se comunica con servidores de bajo nivel, proxies anónimos o dominios recién creados, la sospecha aumenta.
Finalmente, el análisis con antivirus, antimalware y escáner de integridad es imprescindible. Aunque el keylogger sea antiguo o poco conocido, una combinación de herramientas puede ayudar a detectarlo. También se recomienda validar la integridad del sistema operativo con comandos como sfc /scannow en Windows o revisar logs de seguridad para detectar modificaciones no autorizadas.
Si sospechas infección, cambia contraseñas desde un dispositivo limpio y activa la autenticación en dos pasos.
Dato clave