Minería maliciosa: cómo detectar minería oculta

La minería oculta, también conocida como cryptojacking, es un tipo de malware que secuestra tu computadora o tu teléfono para minar criptomonedas sin tu permiso. A diferencia del ransomware, que bloquea tus archivos y te lo hace saber, un minero oculto trabaja en silencio en segundo plano y consume ciclos de CPU y GPU en beneficio del atacante. En la práctica tu dispositivo se convierte en un equipo de minería ajeno: tu hardware hace el trabajo y paga la factura eléctrica, y otro se lleva las monedas.

Los primeros síntomas suelen ser una lentitud inexplicable o temperaturas altas de forma constante. Esta guía explica cómo reconocer esas señales, cómo distinguirlas de una carga legítima, cómo eliminar el software malicioso sin empeorar la situación y qué medidas evitan una reinfección.

Puntos clave

• El cryptojacking usa la capacidad de cálculo de tu dispositivo sin consentimiento y suele minar Monero u otras monedas rentables en CPU, no Bitcoin, porque el minado de Bitcoin en un procesador común no produce nada
• Las tres señales que aparecen juntas en una infección real son lentitud del sistema, uso de CPU alto en reposo y sobrecalentamiento con ventiladores a máxima velocidad
• Los mineros modernos se ocultan del monitor de procesos: bajan la carga en cuanto abres el administrador de tareas, así que ese método por sí solo no basta
• La temperatura es la señal más difícil de falsear: por inercia térmica los componentes siguen calientes un rato después de que el proceso se detiene
• La eliminación se hace con un antivirus actualizado en modo seguro, preferiblemente en versión portable, y no borrando archivos a mano: eliminar solo el ejecutable deja el programa que lo instaló y la infección vuelve
• El malware de minería a menudo llega acompañado de robo de credenciales, así que después de una infección hay que revisar los accesos a billeteras y cuentas desde un dispositivo limpio

¿Qué es la minería oculta?

La minería oculta, o cryptojacking, es la extracción no autorizada de criptomonedas mediante código malicioso. En términos simples: un programa se instala sin que lo sepas y pone tu procesador a trabajar para otro. Una vez activo, ejecuta cálculos de forma continua para generar monedas, habitualmente Monero u otras criptomonedas que siguen siendo rentables en CPU, y envía el resultado al atacante.

El software de minería de criptomonedas no es ilegal en sí mismo: es el mismo tipo de programa que usa cualquier minero cuando lo instala de forma voluntaria en su propio equipo. Lo que convierte a un minero en malware es la ausencia de consentimiento y el destino de las recompensas. Por eso se clasifica como riskware o como troyano: se comporta igual que una herramienta legítima, pero se ejecuta sin permiso y paga a otra cuenta.

Aunque no cifra ni borra archivos, el daño no es solo de rendimiento. Este tipo de malware rara vez viene solo: con frecuencia incluye componentes que extraen datos del usuario y abren acceso a billeteras y a cuentas guardadas en el navegador. Es una diferencia importante frente a la idea de que un minero oculto solo cuesta electricidad.

Cómo funciona el cryptojacking

Los mineros ocultos se propagan por los mismos canales que el resto del malware. Los vectores más frecuentes:

• Descargas infectadas: software pirateado, cracks, keygens y activadores obtenidos de fuentes no confiables. Es el canal más habitual con diferencia
• Adjuntos maliciosos: correos con troyanos camuflados como documentos legítimos
• Exploits del sistema: vulnerabilidades sin parchear. El caso más conocido es el de WannaMine, que reutilizó un exploit de Windows para el que ya existía parche desde marzo de 2017
• Scripts en el navegador: código JavaScript de minería incrustado en sitios comprometidos, que convierte al visitante en minero mientras la página está abierta
• Cuentas comprometidas de mensajería y redes sociales: el atacante envía el enlace desde una cuenta real, y la víctima confía en el remitente porque lo conoce

El vector del navegador se volvió marginal después de que el servicio de scripts de minería más usado cerrara en 2019. Desde entonces, y también en 2026, el vector dominante son los troyanos y los procesos maliciosos en segundo plano instalados en el propio sistema.

Los dispositivos móviles tampoco están fuera. Se han encontrado aplicaciones de Android con mineros integrados, incluso distribuidas por tiendas oficiales, que se ejecutan mientras la app simula reproducir contenido. El síntoma es el mismo: el teléfono se calienta y la batería se agota rápido. En iOS las restricciones del sistema hacen este escenario mucho menos probable, aunque no lo eliminan por completo.

Señales de minería en segundo plano

Un minero oculto intenta pasar desapercibido, pero siempre deja rastro. Las señales más frecuentes:

• Lentitud repentina: el equipo se vuelve lento incluso en tareas simples, las aplicaciones tardan en abrirse y el navegador se traba
• Uso de CPU o GPU alto sin motivo: el procesador trabaja al 70 o 100% sin que estés haciendo nada exigente
• Sobrecalentamiento y ruido: los ventiladores giran a máxima velocidad de forma constante y el chasis se siente caliente. En un teléfono, el calor sostenido en reposo es la señal más clara
• Batería que se agota rápido: en portátiles y móviles, una descarga mucho más rápida de lo normal y calor con el dispositivo sin uso
• Procesos desconocidos: entradas con nombres extraños o aleatorios que consumen recursos y que nunca iniciaste. Los mineros suelen usar nombres que imitan procesos del sistema
• Alertas del antivirus: detecciones etiquetadas como troyano de minería o con nombres genéricos del tipo CoinMiner

Ninguna de estas señales prueba nada por separado, y ahí está el error de diagnóstico más común. Un juego exigente, una exportación de vídeo o una transmisión producen exactamente el mismo cuadro. Lo que sí es indicativo es la combinación: uso alto de CPU con el equipo en reposo, sostenido en el tiempo y acompañado de calor.

Cómo detectar minería oculta en tu dispositivo

Detectar un minero requiere observación y herramientas, en ese orden.

El primer paso es revisar el rendimiento del sistema con el monitor de procesos que incluye tu sistema operativo, ordenando por uso de CPU y revisando lo que no reconozcas. Aquí hay una limitación importante: las variantes modernas detectan cuando se abre el monitor de procesos y reducen su actividad en ese momento, de modo que la lista aparece limpia. En móviles, el equivalente es revisar el consumo de batería por aplicación en segundo plano.

El segundo paso es la temperatura, y es el más fiable de los métodos manuales precisamente por lo anterior. Si un minero se desactiva al abrir el monitor de procesos, los componentes siguen calientes durante un rato por inercia térmica. Un equipo que está en reposo, muestra procesos normales y sin embargo mantiene temperaturas altas es una señal fuerte.

El tercer paso es un análisis completo con un antivirus actualizado. Las suites de seguridad actuales incluyen detección de mineros, tanto por firma como por comportamiento, y es el método más confiable de los tres. Para los mineros de navegador, el análisis se complementa con una extensión que bloquee scripts de minería.

El cuarto paso, opcional pero útil, es el tráfico de red: un volumen saliente inusualmente alto en reposo o conexiones repetidas a dominios desconocidos encajan con un minero comunicándose con su pool. Es un indicio de apoyo, no una prueba.

Si varias de estas comprobaciones apuntan en la misma dirección, hay que actuar sin demora: cuanto más tiempo opera el minero, mayor es el desgaste térmico del hardware.

Herramientas para detectar y eliminar minería oculta

Más que una marca concreta, lo que importa son tres capas de protección y qué debe cumplir cada una.

• Antivirus o antimalware con protección en tiempo real: es la capa principal. Los requisitos son definiciones actualizadas a diario, detección por comportamiento además de por firma, y análisis programado. Cualquier suite reconocida que cumpla eso detecta las variantes más comunes de minero antes de que causen daño
• Extensión de navegador que bloquee scripts de minería: sirve contra el cryptojacking web. Un bloqueador de anuncios y scripts con listas actualizadas cubre la mayoría de los casos, y existen extensiones dedicadas específicamente a mineros
• Monitor de recursos y temperatura: una utilidad que muestre carga de CPU, GPU y temperaturas permite detectar picos anómalos, y es lo que convierte una sospecha en un dato

Sobre la versión portable del antivirus vale la pena un apunte: algunas variantes de malware bloquean la instalación de software de seguridad en un sistema ya infectado. Un antivirus que se ejecuta sin instalación, desde una unidad externa, evita ese bloqueo, y es la herramienta que hay que tener preparada antes de necesitarla.

Cómo eliminar software de minería oculta

Aquí es donde se comete el error más frecuente: buscar el archivo sospechoso y borrarlo a mano. No funciona, y a veces empeora la situación. Un minero rara vez es un único ejecutable: casi siempre hay un programa portador que lo instaló y que puede volver a descargarlo, además de tareas programadas y entradas de inicio automático que lo restauran tras un reinicio. Borrar el archivo visible deja intacta la infraestructura, y manipular archivos del sistema a ciegas puede dejar el equipo inservible.

El procedimiento que sí funciona:

1. Desconecta el dispositivo de internet. Corta la comunicación del malware con su servidor y frena la propagación a otros equipos de la red.
2. Arranca en modo seguro, o en el modo de recuperación equivalente de tu sistema. Con el mínimo de procesos activos, el malware tiene menos capacidad de interferir con el análisis.
3. Ejecuta un análisis completo con un antivirus actualizado, y si el sistema bloquea su instalación, usa una versión portable desde una unidad externa.
4. Deja que la herramienta identifique y elimine todo el conjunto, no solo el proceso que consumía CPU: el portador, las tareas programadas y las entradas de inicio forman parte del problema.
5. En un teléfono Android, desinstala la aplicación señalada por el análisis y revisa qué otras aplicaciones instalaste alrededor de esa fecha.
6. Observa el sistema durante varios días y varios reinicios. Lo que confirma la limpieza es que el uso de CPU en reposo se mantenga normal después de reiniciar, más que un análisis en cero.

Si el antivirus no encuentra nada y los síntomas continúan, el paso siguiente es un especialista en ciberseguridad, no un intento manual. Como último recurso queda reinstalar el sistema operativo con formateo del disco, y en ese caso hay dos condiciones: respaldar los datos personales antes, y analizar cada archivo y aplicación antes de devolverlos al equipo limpio, para no reintroducir el mismo malware.

Un paso que suele olvidarse: si el equipo estuvo infectado, cambia las contraseñas de tus cuentas importantes desde otro dispositivo limpio y revisa el acceso a tus billeteras, siguiendo las prácticas de almacenamiento seguro. Como este tipo de malware suele incluir robo de credenciales, dar por cerrado el incidente al eliminar el minero deja el riesgo principal abierto.

Cómo prevenir futuras infecciones

La prevención es más efectiva que cualquier proceso de limpieza, y se concentra en cinco hábitos:

• Mantén el sistema operativo y las aplicaciones actualizados. Los parches cierran las vulnerabilidades que estos ataques reutilizan, a veces años después de que la corrección estuviera disponible
• Evita el software pirateado, los cracks y los activadores. Es el canal de infección número uno, y ninguna precaución posterior compensa esa entrada
• Descarga solo de tiendas oficiales o del sitio del desarrollador, y analiza cualquier archivo de terceros antes de abrirlo
• Desconfía de adjuntos y enlaces, incluso cuando llegan de un contacto conocido: las cuentas comprometidas de mensajería son un canal habitual
• Revisa de forma periódica el uso de CPU y las temperaturas en reposo, para tener una referencia de cómo se comporta tu equipo cuando está limpio

Ese último punto es el que más ayuda en la práctica. Sin saber cuál es la carga normal de tu equipo sin hacer nada, es imposible reconocer una anomalía; con esa referencia, una infección se detecta en minutos.

Queda la distinción de fondo: el problema no es la minería, es el uso de un dispositivo sin permiso de su dueño. La minería legítima funciona con hardware propio y con reglas claras, y quien quiere participar lo hace con su propio equipo conectado a un pool de minería, donde varios participantes combinan su capacidad de cálculo y reparten las recompensas de forma transparente. La diferencia entre esa actividad y el cryptojacking es el consentimiento del dueño del equipo.

Preguntas frecuentes

¿Cuáles son las formas más comunes de infección?

Aplicaciones pirateadas, cracks, torrents y activadores falsos concentran la mayoría de los casos. Después vienen los adjuntos de phishing, los sitios comprometidos que ejecutan un script de minería en el navegador y los enlaces enviados desde cuentas de mensajería comprometidas.

¿La minería oculta puede afectar a los teléfonos?

Sí, sobre todo en Android. Se han documentado aplicaciones con mineros integrados incluso en tiendas oficiales: se ejecutan en segundo plano, agotan la batería y sobrecalientan el dispositivo. En iOS el escenario es menos probable por las restricciones del sistema, aunque no imposible.

¿Cómo sé si el uso alto de CPU es minería y no otra cosa?

La clave es el estado del equipo. Si la carga es alta con el dispositivo en reposo, sin aplicaciones exigentes abiertas, y se mantiene en el tiempo, la sospecha es fundada. Un indicio adicional es que el proceso desaparezca justo al abrir el monitor de procesos. La confirmación llega con un análisis antimalware.

¿Un sitio web puede minar con mi navegador sin permiso?

Sí, es el cryptojacking de navegador: la página incluye código JavaScript que mina mientras el sitio está abierto. Se bloquea con una extensión que filtre scripts de minería o con un bloqueador de anuncios y scripts actualizado. Desactivar JavaScript por completo también lo detiene, pero rompe el funcionamiento de la mayoría de los sitios.

¿Qué debe tener un antivirus para detectar mineros?

Tres cosas, más importantes que la marca: protección en tiempo real, definiciones actualizadas a diario y detección por comportamiento además de por firma. Esto último es lo que permite reconocer una variante nueva que todavía no está en las bases de datos, y es donde se ven las diferencias reales entre suites.

¿La minería oculta puede dañar el hardware de forma permanente?

El funcionamiento sostenido a plena carga genera calor que estresa los componentes, y el desgaste se concentra en ventiladores, pasta térmica y batería. En móviles se han documentado daños físicos en la batería por sobrecalentamiento prolongado. El daño es acumulativo y no instantáneo, y por eso importa el tiempo que el minero estuvo activo.

¿Es suficiente con borrar el archivo del minero?

No, y es el error más frecuente. Casi siempre existe un programa portador que puede volver a descargarlo, además de tareas programadas y entradas de inicio que lo restauran al reiniciar. La eliminación fiable pasa por un análisis completo con un antivirus actualizado en modo seguro, que retira el conjunto y no solo la pieza visible.

¿Qué hago si el antivirus no encuentra nada y los síntomas siguen?

Consulta a un especialista en ciberseguridad antes de intentar una limpieza manual. Si eso no es viable, el último recurso es reinstalar el sistema con formateo del disco, respaldando antes los datos personales y analizando cada archivo antes de devolverlo al sistema limpio.