Probé Windows 11 25H2 contra ransomware real: esto es lo que sucedió

Cómo se configuró la prueba

Una prueba de ransomware contra Windows 11 es en realidad una prueba de cuatro capas separadas, no de un solo antivirus. En el video, la prueba se ejecuta en Windows 11 25H2 dentro de un laboratorio completamente aislado, en una máquina desechable que luego se limpia: la única forma segura de realizar una prueba de este tipo. La pregunta que se responde no es simplemente "¿lo detectó el antivirus?", sino cómo se comporta cada capa incorporada, en orden, cuando se suelta un cifrador real.

Capa 1: SmartScreen juzga el archivo en la puerta

La mayoría de los ransomware no llegan por arte de magia. Llega como una descarga, un archivo adjunto de correo electrónico o un archivo copiado de una unidad USB y, por lo general, pretende ser otra cosa: una factura, un currículum, un software crackeado, una factura. SmartScreen es el punto de control en esa puerta. Cuando ejecuta un archivo que proviene de Internet, Windows verifica su reputación. Un archivo que millones de PC han ejecutado de forma segura pasa silenciosamente; un archivo nuevo o desconocido activa la pantalla azul de advertencia en la que muchas personas hacen clic sin leer.

Esa advertencia no es una decoración: es la capa que funciona exactamente como se diseñó, lo que le indica que este archivo no tiene registro de seguimiento. El límite honesto: SmartScreen juzga la reputación, no las intenciones. Se advierte sobre un archivo que es nuevo pero inofensivo, y un archivo que se ha difundido ampliamente antes de que alguien informara sobre él puede pasar. Es un primer filtro fuerte, no un veredicto.

Capa 2: Reputación y comprobaciones de la nube entre bastidores

Defender no depende únicamente de la base de datos de firmas almacenada en su PC. Con la protección proporcionada por la nube activada, un archivo sospechoso también se compara con la inteligencia de la nube constantemente actualizada de Microsoft, y el envío automático de muestras puede enviar un archivo dudoso para un análisis más profundo. Así es como una amenaza que apareció en algún lugar del mundo hace una hora puede reconocerse en su PC hoy, en lugar de después de la próxima actualización de la base de datos.

Estos dos botones se encuentran en Seguridad de Windows > Protección contra virus y amenazas > Configuración de protección contra virus y amenazas > Administrar configuración. En muchas PC están activados de forma predeterminada, pero en las PC en las que alguien alguna vez "optimizó" Windows o deshabilitó las funciones de Defender, están silenciosamente desactivados. Esa única diferencia explica por qué la misma prueba puede terminar de manera diferente en dos máquinas aparentemente idénticas.

Capa 3: Defender observa el comportamiento, no solo los archivos

La tarea clásica del antivirus consiste en cotejar archivos con firmas conocidas como incorrectas. El ransomware frustra ese trabajo fácilmente, porque cada campaña puede utilizar archivos recién empaquetados que nadie ha visto antes. Así que Defender también vigila el comportamiento: un programa que de repente comienza a abrir y reescribir cientos de documentos, fotos y hojas de cálculo en segundos se comporta como ransomware, independientemente de lo que diga su nombre de archivo, y existe monitoreo de comportamiento y protección en tiempo real para interrumpir exactamente ese patrón.

La observación del comportamiento es poderosa pero no perfecta. Se necesitan algunos archivos de actividad antes de que el patrón sea innegable, y un cifrador rápido en un SSD veloz es rápido. Esta es la razón honesta por la que ningún experto honesto promete que el antivirus por sí solo te protege y por qué existe la siguiente capa.

Capa 4: el acceso controlado a carpetas protege los archivos en sí

El acceso controlado a carpetas cambia la pregunta. En lugar de preguntar "¿este programa es malo?", pregunta "¿está este programa en la lista permitida para tocar sus carpetas importantes?" Los documentos, imágenes, vídeos, música y escritorio están protegidos de forma predeterminada y puedes agregar tus propias carpetas de trabajo. Cualquier programa que no sea de confianza y que intente cambiar archivos en esas carpetas quedará bloqueado, incluido un nuevo cifrador que las capas 1 a 3 nunca han visto.

Aquí está el truco que decide la mayoría de los resultados en el mundo real: El acceso controlado a carpetas está desactivado de forma predeterminada en una instalación normal de Windows, porque un guardia demasiado estricto ocasionalmente puede bloquear un programa legítimo. Lo activas en Seguridad de Windows > Protección contra virus y amenazas > Protección contra ransomware > Administrar protección contra ransomware. De todas las configuraciones de esta guía, esta es la que falta en la mayoría de las PC domésticas.

Protección contra manipulaciones: la guardia de los guardias

Cada capa superior depende de que su configuración permanezca activa. El malware moderno lo sabe y uno de sus primeros movimientos suele ser apagar silenciosamente Defender. La Protección contra manipulaciones existe para detener exactamente eso: mientras está activada, las aplicaciones o scripts no pueden cambiar la configuración clave de Defender, solo usted, en la aplicación de Seguridad de Windows. Se encuentra en la misma página Administrar configuración donde la nube alterna en el Paso 3.

En una prueba, y en un incidente real, esta es la diferencia entre las defensas que contraatacan y las defensas que se eliminan silenciosamente antes de que comience la pelea. Compruebe que esté encendido; tarda diez segundos.

La capa fuera de Windows: su copia de seguridad sin conexión

Cada capa superior intenta detener el ataque. La capa de respaldo asume que el ataque tuvo éxito y hace que no importe. El ransomware no puede cifrar una copia a la que no puede acceder, por lo que una copia de seguridad debe residir en algún lugar en el que la PC infectada no pueda escribir: una unidad externa que se desconecta después de la copia de seguridad o un almacenamiento en la nube con el historial de versiones adecuado.

El veredicto: una lista de verificación, no una puntuación

Una prueba de laboratorio muestra cómo se comportan estas capas frente a las muestras elegidas, ese día, con esa configuración. No corona al ganador para siempre: los atacantes cambian constantemente el embalaje y los trucos, y Microsoft actualiza la inteligencia constantemente. Windows 11 25H2 continúa con el mismo modelo en capas en lugar de reemplazarlo; la diferencia práctica para la mayoría de los usuarios es la inteligencia y los valores predeterminados actualizados, no un escudo nuevo.

Así que la conclusión honesta del examen es una lista de verificación, no una puntuación. Haga bien estos cinco y habrá reproducido la parte más sólida de cualquier resultado de prueba en su propia PC: (1) respete la advertencia de SmartScreen, (2) protección entregada en la nube activada, (3) protección contra manipulaciones activada, (4) acceso controlado a carpetas habilitado, (5) una copia de seguridad mantenida sin conexión. Mire el vídeo completo de arriba para ver la prueba en sí y luego aplique la configuración.