Cómo limpiar un disco infectado con ransomware sin arriesgar el resto de la red

El error más común: conectar el disco infectado al PC de siempre

Cuando aparece un disco con ransomware confirmado, la reacción instintiva es conectarlo al ordenador de trabajo, arrancar en modo seguro con internet desconectado y formatearlo desde ahí. Parece lógico. Es un error.

El modo seguro de Windows sigue cargando drivers, servicios del sistema y componentes del propio sistema operativo. Si el ransomware ha comprometido el sector de arranque, particiones ocultas o drivers de almacenamiento, estás ejecutando código potencialmente malicioso antes incluso de que aparezca el escritorio. Y si ese ordenador está en una red corporativa, aunque sea con Wi-Fi desconectado, el riesgo de propagación lateral existe en cuanto vuelve a conectarse.

El procedimiento correcto no requiere licencias de software ni hardware especial. Requiere hacerlo bien desde el principio.

Por qué Linux live es más seguro que el modo seguro de Windows

Un USB bootable con Linux arranca un entorno completamente independiente del disco infectado. No carga nada de ese disco, no ejecuta ningún servicio del sistema operativo que pueda estar comprometido, y no tiene acceso a la red corporativa mientras operas en modo aislado.

La diferencia técnica es relevante: cuando arrancas en modo seguro de Windows desde el disco infectado, el sistema operativo que gestiona ese proceso de limpieza es el mismo que puede estar comprometido. Cuando arrancas desde un USB Linux, el sistema operativo que maneja el disco infectado es externo, limpio y sin ninguna dependencia de lo que haya en ese disco.

Esto no es una preferencia de entorno: es la razón por la que los profesionales de respuesta a incidentes usan siempre medios externos para analizar o destruir discos comprometidos.

El procedimiento recomendado por la comunidad técnica

Hay un consenso claro entre quienes han gestionado este tipo de incidentes. El flujo de trabajo seguro sigue estos pasos:

1. Aisla la máquina que usarás para el borrado

No uses el PC principal de trabajo. Usa una máquina separada que, idealmente, no tenga ningún disco interno conectado. Si no tienes esa opción, desconecta físicamente los discos internos de la máquina que vayas a utilizar como intermediaria antes de conectar el disco infectado. El objetivo es que solo exista ese disco en el entorno durante el proceso.

Desconecta también cualquier cable de red o adaptador Wi-Fi. Este equipo no necesita conectividad para nada de lo que vas a hacer.

2. Prepara el USB bootable

Las herramientas más utilizadas para este caso son tres:

• ShredOS: sucesor activo de DBAN, diseñado específicamente para borrado seguro a nivel de sector. Sobrescribe cada sector del disco con patrones de datos para que la recuperación sea imposible. Es la opción recomendada cuando necesitas certeza máxima sobre el borrado.
• DBAN (Darik's Boot and Nuke): la herramienta clásica de borrado seguro, algo más antigua pero ampliamente probada. Funciona de forma similar a ShredOS.
• GParted Live: distribución Linux live centrada en gestión de particiones. Permite eliminar todas las particiones del disco, crear una nueva tabla de particiones y reformatear. Es más rápida que un sector wipe completo, pero no sobrescribe datos residuales.

Para crear el USB bootable puedes usar Ventoy, que permite cargar múltiples imágenes ISO en un mismo USB y elegir desde qué herramienta arrancar. Es especialmente útil si gestionas este tipo de incidentes con cierta frecuencia.

3. Ejecuta el borrado

Con ShredOS o DBAN, el proceso es directo: arranca desde el USB, selecciona el disco objetivo y lanza el borrado. Estas herramientas trabajan a nivel de sector, escribiendo sobre cada bloque del disco independientemente de lo que contenga el sistema de archivos. Cuando terminan, no queda nada recuperable.

Con GParted, el proceso consiste en eliminar todas las particiones existentes, borrar la tabla de particiones y crear una nueva. No es un sector wipe, pero elimina completamente la estructura lógica donde residía el malware. Para la mayoría de escenarios de ransomware esto es suficiente; si necesitas certeza absoluta porque el disco contenía datos sensibles, usa ShredOS.

4. Formatea en la máquina principal sin riesgo

Una vez que el disco ha pasado por el proceso de borrado, puedes conectarlo al PC principal y formatearlo como NTFS (o ext4 si va a un entorno Linux) sin ningún riesgo. El malware ha sido eliminado a nivel de sector o de tabla de particiones: no hay código ejecutable que pueda activarse durante este paso.

¿Cómo sé que el disco está realmente limpio?

Con ShredOS o DBAN y un borrado completo de sector, la respuesta es: con certeza suficiente para cualquier uso operativo. Estas herramientas sobrescriben cada sector del disco, lo que hace recuperación del malware técnicamente inviable con medios convencionales.

Con GParted (solo eliminación de particiones), el nivel de certeza es alto para ransomware estándar, pero no equivale a un sector wipe. Si el disco contenía datos sujetos a regulación o información especialmente sensible, opta siempre por ShredOS.

Lo que no te da certeza suficiente es un formateo rápido desde Windows, un escaneo con antivirus sobre el disco conectado en caliente, o cualquier herramienta que opere desde el sistema operativo del equipo principal.

¿Vuelves a usar el disco o lo destruyes?

Depende de dos factores: la criticidad de los datos que contenía y la confianza que necesitas tener en el proceso de borrado.

Si el disco contenía datos personales de clientes, información contable o cualquier dato que en caso de exposición pueda implicar consecuencias legales, la destrucción física es el método sin ambigüedades. No hace falta nada sofisticado: una perforadora de discos o simplemente desmontarlo y dañar los platos magnéticos de forma irreversible. Algunos proveedores especializados ofrecen certificados de destrucción, útiles si necesitas documentar el incidente.

Si el disco va a reutilizarse para almacenamiento no crítico y has realizado un borrado completo con ShredOS, puede volver al servicio sin problema. Lo que no tiene sentido es reinstalar el sistema operativo en un disco que ha tenido ransomware sin haber hecho antes ese borrado profundo.

La opción empresarial: dispositivos dedicados de borrado

Algunas organizaciones, especialmente las que tienen un departamento IT estructurado, disponen de dispositivos físicos dedicados exclusivamente a borrar discos de forma aislada. Estos equipos no tienen conexión a red, están configurados para este único propósito y generan registros del proceso. Si tu empresa tiene acceso a uno, úsalo siempre: es la solución más controlada y documentable.

Si no existe ese recurso internamente, el flujo con USB bootable de ShredOS o GParted es equivalente en resultado, siempre que se aplique con el aislamiento correcto.

El coste real de no hacerlo bien

El procedimiento descrito aquí usa herramientas de código abierto y gratuitas. El tiempo necesario, con alguien que sepa lo que hace, está entre 30 y 60 minutos incluyendo la preparación del USB.

El coste alternativo —conectar el disco infectado directamente al PC principal, que se propague lateralmente por la red, que cifre otros equipos, que paralice operaciones durante días y que exponga datos personales a una brecha notificable— es de otro orden de magnitud completamente distinto. Y eso sin contar que una brecha de datos con afectación a personas físicas tiene obligaciones de notificación que no desaparecen por haberla gestionado mal.

Si tienes un disco infectado sobre la mesa ahora mismo, el tiempo que dediques a hacerlo bien es la inversión más rentable de tu semana.