¡Windows Defender vs 200 Ransomwares! ¿Quién gana?

La lucha contra el ransomware es un reto constante en el ámbito de la ciberseguridad, y Microsoft sigue depositando su confianza, no me preguntes porqué, en Windows Defender para proteger a los usuarios. Para ver con mi propios ojos si de verdad Windows Defender es tan bueno o tan malo, he realizado un experimento técnico en el que lo enfrenté a 200 variantes de ransomware en un entorno controlado, con el objetivo de valorar su capacidad para detener el cifrado de ficheros y determinar así e una vez por todas, si  el antivirus gratis Windows 11 de Microsoft cumple con las exigencias de las amenazas actuales, o si ya es mejor que tire la toalla.

¿En qué consistió la prueba?

El experimento no lo realicé en mi PC viejo mientras me comía una bolsa de Cheetos, sin más. Fue algo más profesional y se llevó a cabo en un entorno de laboratorio configurado específicamente para someter a prueba cada aspecto de la arquitectura de Windows Defender.
Se utilizó un script automatizado que descargaba 200 muestras de ransomware, incluyendo variantes de última generación como el temido .mlbo, y las ejecutaba de forma secuencial. Para evaluar el impacto, se monitorizaban en tiempo real los procesos del sistema, el consumo de CPU y las notificaciones generadas por Defender, lo que permitió identificar tanto detecciones basadas en firmas como aquellas realizadas mediante análisis heurístico y de comportamiento.

La prueba se basó en un mecanismo de “sandboxing” en el que se registraba el comportamiento anómalo de procesos sospechosos, y se observó cómo algunas variantes lograban evadir las defensas “cambiando su identidad” para no ser reconocidos por Defender.

¿Windows Defender me cerró la boca?

Windows Defender mostró una eficiencia mucho mayor de la que reconozco que esperaba, al bloquear aproximadamente el 70% de las muestras conocidas, utilizando tanto detección por firmas como técnicas basadas en análisis heurístico.
Sin embargo, y esto es muy importante, la efectividad disminuía drásticamente cuando se trataba de variantes emergentes o modificadas, lo que deja muy claro que Windows Defender sólo es capaz de defenderse contra amenazas ya conocidas y presentes en las bases de datos de amenazas ya catalogadas, sobre las que se tiene mucha información. Por decirlo que una forma que todos entendamos, Defender tiene la vacuna de la gripe, pero no tenía la del covid.

Durante la prueba se detectaron programas que al principio parecían inofensivos, pero después cambiaban su nombre y se modificaban directamente en la memoria del sistema. Se notó un aumento en el uso del procesador (CPU), algo típico cuando un ransomware empieza a cifrar archivos. Esto mostró que algunas variantes, como el .mlbo, consiguieron saltarse los métodos tradicionales de detección.

¿Qué vulnerabilidades de Windows Defender salieron a la luz?

La prueba dejó clara una vulnerabilidad en la arquitectura de Defender que permitía la ejecución parcial de algunas muestras. En concreto, el ransomware con extensión .mlbo logró infiltrarse mediante técnicas de ofuscación y alteración progresiva de su código, que le permitieron escapar de los análisis de firma en tiempo real y comprometer archivos esenciales del sistema.

Se identificaron procesos que generaban una carga sostenida en la CPU (por ejemplo, un uso del 133%) que estaba asociada al cifrado de ficheros, lo que sugiere que el ransomware utilizaba técnicas de “resource exhaustion” para priorizar su ejecución, ralentizando la respuesta de seguridad del sistema.

Análisis Post-Mortem

Para entender en detalle el comportamiento del malware, se realizó un análisis post-mortem usando la plataforma VMray Sandbox. En este entorno controlado, el ransomware demostró su capacidad para iniciar múltiples procesos secundarios, como la ejecución de reg.exe y cmd.exe. Esto deja claro que el malware utiliza técnicas avanzadas de manipulación de procesos y tráfico de red para propagarse y mantenerse activo. Además, los registros de red mostraron un gran número de conexiones sospechosas, lo que puede ser un indicio de intentos de comunicación con servidores de comando y control (C&C).

La imagen conseguida durante la prueba evidenció la activación de mecanismos de evasión, como el bypass de UAC y la manipulación de tokens de acceso, lo que confirma que el malware incluye sofisticadas técnicas de ofuscación y persistencia, lo que obliga a revisar y actualizar a fondo los sistemas de detección actuales.

Además, la gran habilidad del ransomware .mlbo para eliminar copias de seguridad y alterar configuraciones importantes del sistema deja clara la necesidad de diversificar y modernizar los métodos de detección.
A día de hoy, el incorporar inteligencia artificial (IA) y aprendizaje automático para analizar comportamientos en tiempo real es ya obligatorio si se desea poder anticiparse a variantes emergentes que logren evadir los enfoques tradicionales basados en firmas.

En este sentido, recomendamos no limitarse únicamente al uso de bases de datos de amenazas. Dado que, es ya innegociable implementar un sistema de detección comportamental que monitorice la actividad de los procesos en tiempo real, permitiendo activar protocolos de contención cuando se detecten patrones inusuales, como picos inesperados en el uso de recursos o cambios en configuraciones críticas de Windows.

¿Te sigues fiando de Windows Defender?

Si alguna vez has sentido total confianza en Windows Defender, espero que los resultados de este test te hagan replanteartelo. En esta prueba, dónde desafiamos a fondo las capacidades del software de Microsoft, y lo enfrentamos a 200 virus distintos, los resultados fueron, por decirlo suavemente, sorprendentes.

Durante las pruebas, aunque Defender bloqueó aproximadamente el 70% de las amenazas, el otro 30% se las arregló para pasar desapercibido con facilidad, lo que nos deja claro que para esquivar por completo a Windows Defender, llega con un simple parche del virus que no esté ampliamente documentado y presente en las bibliotecas ya.

Este test es una clara advertencia: el mundo del malware es tan dinámico como impredecible. Por cada actualización de seguridad lanzada, surgen múltiples métodos nuevos de infiltración, dejando cada vez más clara la necesidad de adoptar técnicas más sofisticadas, como la detección basada en el comportamiento y la inteligencia de amenazas en tiempo real, para estar realmente un paso adelante.

¿Sigues usando Windows Defender? Entonces te daré algunos consejos de seguridad

Después de conocer estos resultados, es importante que tengas claro que no puedes depositar todas tus esperanzas en un único sistema de protección. Aunque Windows Defender cumple una función importante como primera barrera de control, la situación actual demanda una vigilancia continua y estrategias de seguridad más robustas y proactivas, como el caso del antivirus Kaspersky, que no se “queda esperando a ver que pasa” sino que tiene un enfoque proactivo que se pasa las 24 horas del día monitoreando  todo lo que está a su alcance, detectando de ese modo nuevas amenazas que surgen a diario.

Pero, si pese a todo eres un Windows Defender Lover, algunas recomendaciones prácticas que te puedo dar, son:

• Utiliza otros antivirus complementarios: Plantéate la implementación de otros antivirus de apoyo que integren detección basadas en inteligencia artificial.
• Actualiza tus programas constantemente: No sólo por nuevas funciones, sino porque las actualizaciones incluyen parches vitales para cerrar vulnerabilidades.
• Sé consciente de que hay que ser proactivo: Infórmate y aprende a identificar señales tempranas de posibles amenazas, de modo que puedas actuar antes de que se conviertan en un problema.

Como resumen, ¿En serio sigue confiando en Windows Defender?. ¿Por….qué?¿
Me refiero, como antivirus base puede llegar a estar bien, e incluso detecta el 70% de las amenazas que le llegan, pero ese 70% que detecta, corresponde con el 70% que ya está más que documentando y que absolutamente todos los antivirus del mercado son capaces de detectar, lo verdaderamente importante, es ese 30% que no puede enfrentar.
Microsoft, como empresa,  aún tiene terreno que recuperar para subsanar las brechas identificadas en este test. Pero si quieres protegerte ya, busca mejores alternativas, por favor.

Tienes un listado completo de antivirus recomendados en esta web ¡Mantente a salvo!.