Descargué malware de GitHub: qué hacer paso a paso tras una infección real

Ya está hecho: lo descargaste, lo ejecutaste y algo fue mal

No hay vuelta atrás al momento antes de ejecutar ese repositorio. Pero sí hay una diferencia enorme entre actuar bien ahora mismo y actuar mal — o no actuar — durante las próximas horas. Esta guía está pensada para el momento en que ya tienes el malware dentro: Trojan.Crypt.MSIL, Malware.AI, exclusiones sospechosas añadidas a Windows Defender y correos de restablecimiento de contraseña llegando a tu bandeja de entrada.

Lo que vas a leer no es un tutorial de prevención. Es el procedimiento real de contención y recuperación, en orden, sin adornos.

Paso 1: desconecta el equipo de la red ahora mismo

Antes de cualquier otra cosa: cable de red fuera, WiFi desactivado, Bluetooth apagado. No es un gesto simbólico. Mientras el equipo tenga conexión, el malware puede seguir exfiltrando datos, recibir nuevas instrucciones o abrir puertas traseras adicionales. Cada minuto conectado es tiempo que el atacante aprovecha.

Una vez aislado el equipo, ya puedes respirar y pensar con claridad. El daño inicial está hecho, pero cortando la red detienes la hemorragia activa.

Paso 2: cambia todas las contraseñas, pero NO desde el PC infectado

Este es el error más común y el más costoso. Si cambias contraseñas desde el equipo comprometido, un keylogger o un infostealer activo captura las credenciales nuevas en el mismo momento en que las escribes. Has cambiado la cerradura delante del ladrón.

Usa el móvil, el ordenador de un familiar, cualquier dispositivo que no haya tocado ese repositorio. Cambia contraseñas en este orden de prioridad:

• Cuenta Microsoft — correo, OneDrive, licencias Office asociadas
• Correo principal — es la llave maestra del resto de cuentas
• GitHub, servicios cloud y herramientas de desarrollo
• Banca online y cualquier servicio con datos de pago

Después de cambiar cada contraseña, activa MFA de inmediato. Una contraseña robada sin segundo factor es un problema resuelto en segundos por el atacante; con MFA, al menos necesita acceso físico a tu dispositivo.

Paso 3: la cuenta Microsoft puede estar permanentemente perdida

Hay que decirlo sin rodeos porque la comunidad que ha pasado por esto lo deja claro: Microsoft puede suspender una cuenta comprometida de forma permanente, sin posibilidad de recuperación. No es un aviso exagerado. Si el sistema de Microsoft detecta acceso no autorizado masivo, cierra la cuenta como medida de protección — y con ella se van todas las licencias de Office, cualquier compra digital asociada y todos los archivos almacenados en OneDrive.

Contacta con el soporte de Microsoft cuanto antes, explica la situación con detalle y documenta todo por escrito. No hay garantía de éxito, pero es el único camino oficial. Si el correo original ya no es reconocido, busca en la web de Microsoft el proceso de recuperación de identidad mediante datos alternativos de verificación. En cuanto al procedimiento cuando hay pérdida de licencias por un incidente de seguridad, no existe un marco legal específico que obligue a Microsoft a compensar — las condiciones de servicio suelen eximir al proveedor en estos casos, por lo que la única vía práctica es el soporte directo y la escalada formal de la reclamación.

Paso 4: las unidades D y E no están automáticamente limpias

Mucha gente asume que reinstalar Windows limpia el equipo. Limpia el sistema operativo en C:, sí. Pero si el malware escribió archivos en D: o E: — y los infostealers modernos lo hacen habitualmente — esas unidades siguen comprometidas aunque C: quede intacta.

Para 300 GB de vídeos personales o cualquier dato valioso en unidades secundarias, el procedimiento recomendado es:

• No conectar esas unidades a ningún equipo limpio sin escanearlas antes
• Llevar el equipo a un profesional que extraiga los datos en un entorno aislado
• Escanear cada archivo extraído antes de abrirlo en el equipo limpio
• Aplicar zeroing a todas las unidades — sobreescritura completa del disco — antes de reutilizarlas

El zeroing no es un formateo rápido. Es una sobreescritura sector a sector que elimina cualquier residuo. Herramientas como DBAN o el propio diskpart clean all de Windows hacen ese trabajo. Lleva tiempo, pero es el único método que da garantías reales.

Paso 5: ¿puedes saber qué información robaron?

La respuesta honesta: difícilmente, y nunca de forma completa. Un antivirus que detecta el malware post-infección te dice qué había, no qué hizo mientras estuvo activo. Para tener una idea del comportamiento real del malware, la herramienta más accesible sin coste es hybrid-analysis.com: permite ejecutar una muestra en un entorno controlado y ver exactamente qué procesos lanza, qué archivos toca, qué conexiones intenta abrir. Es análisis dinámico, no estático, y complementa los escáneres tradicionales que solo leen firmas conocidas.

Lo que sí puedes asumir si recibiste correos de recuperación de múltiples cuentas en los primeros minutos: el malware tenía capacidad de infostealer y probablemente exfiltró contraseñas guardadas en el navegador, tokens de sesión activos y posiblemente archivos recientes. Esa información ya no la recuperas — pero sí puedes contener el daño cambiando credenciales y revocando sesiones activas en cada servicio.

Paso 6: reinstalación limpia de Windows

Una vez extraídos y escaneados los datos que quieres conservar, haz una instalación limpia desde cero. No restaures una imagen de sistema anterior — podría incluir el malware. Descarga el instalador de Windows directamente desde Microsoft usando otro equipo, crea un USB de instalación y formatea C: durante el proceso. Después, aplica zeroing a D: y E: antes de volver a usarlas.

Antes de reconectar a internet, configura Windows Update, activa el firewall y comprueba que no hay exclusiones activas en Windows Defender que no hayas añadido tú conscientemente.

Por qué el repositorio falso pasó los escáneres

Uno de los patrones más documentados en ataques de este tipo es el repositorio imitador: mismo nombre o nombre similar al proyecto legítimo, pocas estrellas (decenas frente a los cientos de miles del original), código aparentemente funcional. VirusTotal puede dar análisis limpios en estos casos porque el payload puede estar cifrado, ofuscado, o activarse solo bajo ciertas condiciones en el sistema real.

La comunidad técnica lleva meses advirtiendo sobre un aumento significativo de ataques supply chain en el ecosistema open source: repositorios comprometidos, dependencias envenenadas, paquetes npm o PyPI con nombres casi idénticos a librerías populares. Verificar siempre el repositorio canónico oficial — buscando directamente al autor reconocido del proyecto y comparando el número de estrellas y la fecha de actividad — es el primer filtro antes de descargar nada.

Lo que cambia en tu flujo de trabajo desde ahora

Hay dos medidas que marcan la diferencia real, no como teoría sino como práctica diaria:

Máquinas virtuales para código desconocido

Cualquier repositorio que no conoces, cualquier script que alguien te pasa, cualquier herramienta que acabas de descubrir: ejecútalo en una máquina virtual antes de hacerlo en tu equipo principal. Las VM con KVM como hipervisor ofrecen un nivel de aislamiento real a nivel de CPU. Los contenedores como Docker no son un sustituto para esto: están diseñados para aislar dependencias, no para contener malware, y existen vulnerabilidades documentadas que permiten escapar del contenedor al sistema anfitrión.

Implementar una VM de pruebas no ralentiza el flujo de desarrollo si se hace bien: una imagen base limpia que puedes clonar en minutos, ejecutar lo que necesitas revisar, y destruir sin dejar rastro en el sistema principal. El tiempo que cuesta es mínimo comparado con el que lleva recuperarse de una infección.

MFA y backup offline antes de que pase nada

El MFA no es opcional en cuentas críticas. No solo Microsoft: GitHub, cualquier proveedor cloud, herramientas de facturación, correo corporativo. Un token de sesión robado pierde su valor si el atacante no puede completar el segundo factor.

Para los datos que realmente no puedes permitirte perder — en este caso, 300 GB de vídeos personales — el backup offline en una unidad que no está conectada permanentemente al equipo es la única garantía real. Un servicio cloud de confianza añade una segunda copia, pero no reemplaza la copia local desconectada.

El contexto que convierte esto en un problema de empresa, no solo personal

Lo que describe esta situación — un desarrollador o técnico descargando un repositorio para automatizar algo, ejecutándolo en su máquina de trabajo — ocurre a diario en equipos de desarrollo de cualquier tamaño. La diferencia entre que sea un susto personal o un incidente grave con implicaciones legales está en qué había en esa máquina.

Si el equipo infectado tenía acceso a datos de clientes, las obligaciones bajo el RGPD entran en juego desde el momento de la brecha: notificación a la Agencia Española de Protección de Datos en un plazo de 72 horas si hay riesgo para los afectados, comunicación a los propios afectados si el riesgo es alto. No actuar no es una opción legal.

Las medidas concretas que evitan llegar a ese punto son conocidas: política documentada de nunca ejecutar código no auditado en equipos de producción, MFA obligatorio en todas las cuentas con acceso a sistemas críticos, procedimiento de respuesta a incidentes escrito antes de que ocurra el incidente, y auditoría periódica de las dependencias externas que usa el equipo. No son medidas caras ni complicadas de implementar — son decisiones que se toman antes de que haya urgencia.

Si en tu caso o en el de tu equipo alguna de estas piezas falta, este artículo es un buen momento para revisar cuál es la primera que pondrías en marcha.