Historia del malware
======================================================== historia.log — evolución del malware 1971 → presente · 65 especímenes catalogados ========================================================
## [1971 – 1985] los orígenes experimentales
El malware nace en los laboratorios, no en el crimen: programas que exploran los límites de lo que el software puede hacer por sí solo.
Antes de que existiera «el malware» como amenaza, hubo teoría y curiosidad. Ya en 1949 John von Neumann describió autómatas capaces de reproducirse a sí mismos; dos décadas después, los primeros programas autorreplicantes lo llevaron a la práctica. Creeper (1971) se paseaba por ARPANET dejando un mensaje, y su existencia motivó el primer «antivirus», Reaper, un programa que lo perseguía para borrarlo.
En los microordenadores domésticos, la broma se volvió epidemia sin quererlo: Elk Cloner (1982), escrito por un adolescente, fue el primer virus que se propagó «in the wild» fuera de su entorno, saltando entre disquetes de Apple II. Queda fijado el patrón que se repetirá durante décadas: el vector de propagación es el soporte que la gente comparte.
$ ls /historia/origenes/
- 1971 WRM creeper Considerado el primer gusano informático de la historia.
- 1974 MAL wabbit Programa autorreplicante. Precursor del concepto de «fork bomb».
- 1982 BKT elk cloner Primer virus en propagarse fuera de un entorno controlado
## [1986 – 1998] el disquete y las primeras epidemias de pc
El PC compatible se populariza y, con él, los virus de sector de arranque y de fichero. Aparecen la ingeniería social y la destrucción.
Con el IBM PC llegó Brain (1986), el primer virus para esa plataforma. Se consolidan dos grandes familias técnicas: los virus de sector de arranque, que infectan el arranque del disco, y los de fichero, que se inyectan en ejecutables; ambos viajan en disquetes. El gusano de Morris (1988) demostró en cambio el poder de las redes: paralizó buena parte de la incipiente Internet y provocó la primera condena bajo la ley estadounidense de fraude informático.
Empieza además la carrera armamentística con los antivirus, que nace como industria: frente a las firmas de detección, el malware responde con cifrado y polimorfismo (Chameleon/1260, 1990) para cambiar de forma en cada copia. La era deja también el primer ransomware de la historia (AIDS Trojan, 1989), el primer virus para Linux (Staog, 1996) y cargas destructivas como CIH (1998), capaz de sobrescribir la BIOS y «ladrillar» el equipo.
$ ls /historia/disquete/
- 1986 BKT brain Primer virus conocido para IBM PC (MS-DOS).
- 1987 VIR cascade Virus de 1987 que hacía «caer» las letras de la pantalla formando un montón abajo. Uno de los primeros virus cifrados (autocifrado) para evadir la detección.
- 1987 BMB jerusalem Virus de 1987 con bomba lógica: cada viernes 13 borraba los programas que se ejecutaran. Uno de los primeros virus destructivos difundidos mundialmente.
- 1988 WRM morris worm Primer gusano de Internet con impacto masivo (2 nov. 1988).
- 1989 RAN aids trojan Considerado el primer ransomware de la historia.
- 1989 VIR ghostball Primer virus multipartite.
- 1990 VIR chamaleon Uno de los primeros virus polimórficos.
- 1991 MAL eicar (fichero de prueba) Fichero de prueba estándar de 68 bytes que todo antivirus detecta por acuerdo, sin ser malicioso. Es la pieza con la que se validó por primera vez el laboratorio de este proyecto.
- 1991 BMB michelangelo Actuaba como bomba lógica: permanecía latente hasta el 6 de marzo
- 1995 VIR concept Primer macrovirus de Microsoft Word (1995). Inauguró una era: al viajar en documentos (no en programas), se propagaba con solo compartir un fichero.
- 1996 VIR staog Primer virus conocido para Linux (octubre de 1996)
- 1998 VIR cih Virus extremadamente destructivo de equipos.
## [1999 – 2008] internet y los gusanos masivos
La conexión permanente convierte la propagación en global e instantánea: correo, servicios de red y contraseñas débiles son el nuevo campo de juego.
Con Internet de por medio, la escala cambia de orden de magnitud, y con ella la técnica: frente al virus, que necesita un huésped y a alguien que lo ejecute, se impone el gusano, que se propaga solo por la red. Los gusanos de correo (Melissa, 1999; ILOVEYOU, 2000) abusan de la libreta de direcciones y la ingeniería social para llegar a millones en horas; los gusanos de red (Code Red, 2001; SQL Slammer, 2003) explotan servicios vulnerables sin intervención humana: Slammer duplicó los equipos infectados cada 8,5 segundos y saturó Internet en minutos.
Es también el inicio del malware con ánimo de lucro y control: Zeus (2007) roba credenciales bancarias, Conficker (2008) construye una botnet de millones de equipos y Cabir (2004) inaugura el malware móvil sobre Symbian. El malware deja de ser vandalismo para volverse infraestructura criminal.
$ ls /historia/internet/
- 1999 VIR melissa Macrovirus de propagación masiva por correo
- 2000 WRM iloveyou Gusano de correo que causó miles de millones en daños.
- 2001 WRM code red Explotaba un desbordamiento de búfer en el filtro ISAPI .ida
- 2001 WRM nimda Gusano de 2001 (una semana después del 11-S) que se propagaba por cinco vías a la vez: correo, servidores IIS, recursos compartidos, webs infectadas y puertas traseras previas.
- 2003 WRM blaster Gusano de 2003 que explotaba una vulnerabilidad RPC/DCOM de Windows. Provocaba reinicios continuos y lanzaba un DDoS contra windowsupdate.com.
- 2003 WRM sql slammer El gusano de propagación más rápida de la historia
- 2004 WRM cabir Primer gusano conocido para teléfonos móviles (2004).
- 2004 WRM mydoom El gusano de correo de propagación más rápida de la historia.
- 2004 WRM sasser Gusano de 2004 que explotaba un fallo del servicio LSASS de Windows. Se propagaba solo por red y provocaba reinicios; afectó a bancos, aerolíneas y hospitales.
- 2007 WRM storm worm Gusano de correo de 2007 que construyó una de las mayores botnets P2P de su época. Se difundía con titulares gancho (una tormenta en Europa le dio nombre).
- 2007 TRY zeus Troyano bancario (robando datos al Dpto. de Transporte de EE. UU.).
- 2008 WRM conficker Gusano que explotaba la vulnerabilidad MS08-067 (CVE-2008-4250).
- 2008 WRM koobface Gusano que se propagaba por redes sociales (Facebook, MySpace, etc.)
## [2009 – 2016] profesionalización y cibercrimen organizado
El malware se industrializa: modelos de negocio, servicios de alquiler y las primeras ciberarmas dirigidas por Estados.
Aparece la ciberarma: Stuxnet (2010), atribuido a Estados, saltó el «air gap» de una planta de enriquecimiento nuclear y saboteó físicamente sus centrifugadoras reprogramando los autómatas (PLC) que las controlaban, valiéndose de varios fallos de día cero. En paralelo, el cibercrimen se profesionaliza: CryptoLocker (2013) consolida el ransomware moderno combinando criptografía asimétrica —la clave privada nunca sale del servidor del atacante— con el cobro en Bitcoin.
Surge el «ransomware como servicio» (RaaS): familias como TeslaCrypt, Locky y Cerber (2015–2016) se alquilan a afiliados a cambio de una comisión, montando toda una cadena de valor criminal. El malware móvil madura (Koler, 2014) y Mirai (2016) demuestra que el Internet de las Cosas —cámaras y routers con contraseñas por defecto— es un ejército de bots listo para ataques DDoS de récord.
$ ls /historia/cibercrimen/
- 2010 TRY spyeye Troyano bancario de 2010, gran rival (y luego sucesor) de Zeus. Se vendía como kit e incluía una función para «matar» a Zeus en los equipos infectados.
- 2010 WRM stuxnet Primer ciberarma diseñado para sabotear infraestructura física.
- 2011 SPY duqu Malware de espionaje de 2011 con notables similitudes de código con Stuxnet. En vez de sabotear, recopilaba información (credenciales, diseños) como fase previa a futuros ataques industriales.
- 2011 TRY gameover zeus Variante P2P de Zeus (2011) creada por Bogachev. Botnet muy resistente que causó ~100 M$ en fraude y sirvió de vehículo para distribuir CryptoLocker. Desarticulada en la Operación Tovar (2014).
- 2012 SPY flame Malware de ciberespionaje de 2012, «el más complejo jamás encontrado» según CrySyS. Grababa audio, capturas, teclado y tráfico, y espiaba conversaciones de Skype y dispositivos Bluetooth cercanos.
- 2012 MAL shamoon Wiper de 2012 que destruyó datos en ~30.000 equipos de Saudi Aramco, sobrescribiendo el MBR con la imagen de una bandera ardiendo. Uno de los ataques destructivos más sonados.
- 2013 RAN cryptolocker Ransomware que popularizó el cifrado híbrido RSA-2048 + AES-256
- 2014 RAN cryptowall Ransomware de 2014 que tomó el relevo de CryptoLocker tras su desmantelamiento. Muy lucrativo: se estiman cientos de millones de dólares en daños y rescates.
- 2014 TRY dridex Troyano bancario de 2014 de Evil Corp, uno de los más prolíficos. Se distribuía por correo con macros y evolucionó hacia el despliegue de ransomware (BitPaymer, WastedLocker).
- 2014 TRY dyre Troyano bancario de 2014 que robaba credenciales interceptando el navegador. Se le considera el antecesor directo de TrickBot.
- 2014 TRY emotet Uno de los botnets más peligrosos del mundo
- 2014 RAN koler Ransomware «de la policía» para Android (abril de 2014)
- 2015 RAN teslacrypt Ransomware que en sus inicios apuntaba a archivos de videojuegos.
- 2016 RAN cerber Raas famoso por «hablar» a la víctima con una nota de voz.
- 2016 RAN locky Ransomware ligado a la banda de Dridex y a la botnet Necurs
- 2016 WRM mirai Botnet que convertía dispositivos IoT en bots vía Telnet.
- 2016 SPY pegasus Spyware comercial de NSO Group (documentado desde 2016) para móviles. Evolucionó a infecciones «cero-clic» (sin acción de la víctima). Usado para vigilar a periodistas, activistas y políticos.
- 2016 RAN petya Ransomware de 2016 que, en vez de cifrar ficheros uno a uno, sobrescribía el MBR y cifraba la MFT del disco, dejando el equipo inarrancable hasta pagar. Base del posterior NotPetya.
- 2016 TRY trickbot Troyano bancario modular de 2016 (heredero de Dyre) que evolucionó a una plataforma de ataque completa y a puerta de entrada de Ryuk y Conti. Sufrió operaciones de desmantelamiento en 2020.
## [2017 – hoy] ransomware, wipers y ciberguerra
Exploits de nivel estatal filtrados, destrucción disfrazada de rescate y ataques que paralizan hospitales, empresas y países enteros.
2017 marca un antes y un después: exploits desarrollados por servicios de inteligencia y filtrados por el grupo Shadow Brokers (EternalBlue) alimentan ataques mundiales. WannaCry combina ransomware con gusano —se propaga solo por SMB— y afecta a más de 150 países; NotPetya, disfrazado de ransomware, es en realidad un wiper destructivo (no hay clave que recupere los datos) y causa más de 10.000 millones de dólares en daños.
El «big game hunting» se profesionaliza: los grupos tras Ryuk, Conti, REvil o BitPaymer atacan de forma dirigida a grandes organizaciones, con doble extorsión (cifrar y, además, robar y amenazar con publicar). Y la confianza misma se vuelve vector: el ataque a la cadena de suministro de SolarWinds (2020) coló una puerta trasera a través de una actualización legítima. El malware es ya un problema de seguridad nacional capaz de paralizar servicios esenciales de países enteros.
$ ls /historia/ransomware/
- 2017 RAN bad rabbit Ransomware de 2017 (familia Petya) que golpeó Europa del Este vía «falso Flash». Afectó al metro de Kiev, el aeropuerto de Odesa y medios rusos.
- 2017 RAN bitpaymer Ransomware dirigido del grupo INDRIK SPIDER (Evil Corp)
- 2017 RAN notpetya Parecía ransomware pero era un *wiper* destructivo.
- 2017 RAN wannacry Ransomware-gusano que afectó a más de 200.000 equipos.
- 2018 RAN gandcrab Ransomware-as-a-Service de 2018 muy prolífico. Sus operadores anunciaron su «retiro» en 2019 alegando enormes beneficios; poco después surgió REvil, que comparte código.
- 2018 RAN ryuk Ransomware dirigido del grupo WIZARD SPIDER
- 2019 RAN clop Ransomware de 2019 del grupo TA505, especializado en explotar cero-days de plataformas de transferencia de ficheros (Accellion, GoAnywhere, MOVEit) para robos masivos de datos.
- 2019 RAN lockbit RaaS aparecido en 2019 que llegó a ser el más dominante del mundo (20-30 % de las víctimas). Conocido por su cifrado rapidísimo. Desarticulado en 2024 (Operación Cronos), aunque resurgió.
- 2019 RAN maze Ransomware de 2019 que PIONERÓ la «doble extorsión»: además de cifrar, robaba los datos y amenazaba con publicarlos. Su modelo lo copiaron después casi todas las bandas.
- 2019 RAN revil Operación RaaS rusa surgida en 2019, heredera de GandCrab.
- 2020 TRY bazarloader Loader y puerta trasera sigilosos de 2020, del grupo de TrickBot. Se usó para infectar redes y desplegar ransomware (Ryuk/Conti), a veces mediante «vishing» (llamadas telefónicas).
- 2020 RAN conti RaaS muy agresivo ligado a WIZARD SPIDER, sucesor de Ryuk.
- 2020 RAN darkside RaaS de 2020 responsable del ataque a Colonial Pipeline (2021), que paralizó el mayor oleoducto de EE. UU. y disparó los precios del combustible. Cobró 4,4 M$ (parte recuperada por el FBI).
- 2020 TRY solarwinds (sunburst) Ataque a la cadena de suministro de 2020: se troyanizó el software Orion de SolarWinds; ~18.000 organizaciones recibieron el update malicioso y un subconjunto selecto fue espiado (agencias de EE. UU., Fortune 500).
- 2020 RAN wastedlocker Ransomware dirigido de 2020 de Evil Corp, creado para eludir las sanciones de EE. UU. que pesaban sobre el grupo. Sucesor de BitPaymer, con rescates muy elevados.
- 2021 RAN blackcat RaaS de 2021, primera familia profesional de ransomware escrita en Rust (multiplataforma). Practicaba la triple extorsión; sus afiliados venían de Ryuk, Conti y REvil.
- 2026 TRY simulador de dropper (museo) Programa DOS benigno, escrito para este museo, que suelta tres ficheros de texto y termina. Sirve para comprobar que la cadena de análisis y custodia observa comportamiento de verdad.
- 2026 BKT simulador de sector de arranque (museo) Programa DOS benigno que escribe una firma en el sector 0 de un disquete y la vuelve a leer. Reproduce la vía por la que se propagaban Brain y Stoned, sin hacer daño.
> fin del registro_