Cómo detectar páginas de descarga falsas antes de instalar malware

Buscar ‘descargar programa X’ parece una tarea trivial, pero es una de las rutas más cómodas para distribuir instaladores modificados. El problema no siempre es una web obviamente sospechosa: a veces el diseño copia con bastante precisión al proveedor real y aparece incluso como anuncio.

Empieza por el dominio

No te fijes solo en el logo. Lee el dominio completo y comprueba que corresponde al fabricante o proyecto. Letras sustituidas, subdominios extraños y dominios con palabras como download, secure o official añadidas pueden intentar parecer legítimos.

Si conoces la marca, escribe su dirección o usa un marcador guardado. Para software libre, enlaza desde la página oficial del proyecto hacia su repositorio o descarga.

Cuidado con los anuncios de búsqueda

Un resultado patrocinado no es una garantía de autenticidad. Los atacantes han utilizado publicidad para colocar páginas falsas por encima de resultados orgánicos.

Cuando busco software importante, prefiero ignorar anuncios y localizar el dominio oficial por otras señales: documentación, perfiles verificados o repositorio del proyecto.

Revisa el archivo antes de ejecutarlo

El nombre del archivo puede mentir. En Windows, mira propiedades y firma digital cuando el proveedor firma sus binarios. Una firma válida no prueba que el programa sea bueno, pero una firma ausente donde debería existir merece investigación.

También puedes comparar hashes si el proyecto publica sumas de verificación. Es una práctica especialmente útil para imágenes ISO, firmware y herramientas administrativas.

Desconfía de instaladores que añaden ‘extras’

Si el instalador quiere cambiar buscador, instalar una extensión o añadir programas que no pediste, cancelo y busco otra fuente. El empaquetado de software adicional puede ser legal, pero es una señal de que no estás descargando necesariamente el instalador original.

Lee cada pantalla en modo personalizado en vez de pulsar Siguiente automáticamente.

Permisos y alertas de seguridad

Un editor de texto no debería pedir controladores de bajo nivel ni desactivar el antivirus. El contexto importa. Si Windows SmartScreen o tu solución de seguridad alerta, no la desactives por reflejo; averigua por qué.

Las instrucciones de una web que te piden apagar Defender para poder instalar algo son una bandera roja muy clara.

Si ya ejecutaste algo sospechoso

Desconecta el equipo de cuentas sensibles si observas comportamiento extraño, realiza un análisis de seguridad actualizado y cambia credenciales desde un dispositivo limpio si existe riesgo de robo.

Revisa extensiones del navegador, aplicaciones instaladas y sesiones activas. Si el incidente es serio, una reinstalación limpia puede ser más fiable que intentar adivinar cada modificación.

Sandboxes y máquinas virtuales no sustituyen el criterio

Abrir archivos dudosos en un entorno aislado puede reducir riesgo para usuarios avanzados, pero no convierte una descarga desconocida en confiable. Un malware puede intentar escapar, robar credenciales del navegador o simplemente esperar.

Para la mayoría, la medida más efectiva sigue siendo conseguir el software desde el origen correcto y no ejecutarlo hasta verificarlo.

Señales en el navegador antes de descargar

Pop-ups que simulan alertas del sistema, temporizadores, varios botones de descarga idénticos o mensajes que dicen que tu PC está infectado son señales clásicas. Cierra la pestaña sin interactuar.

Un sitio legítimo no necesita asustarte para que instales un ‘actualizador’ improvisado. Las actualizaciones deben venir del programa o del proveedor conocido.

Comprobar un hash sin abrir el instalador

Si el proveedor publica un SHA-256 para la versión exacta, abre PowerShell y calcula el del archivo descargado. Sustituye la ruta de ejemplo por la real:

Get-FileHash -LiteralPath "C:\Descargas\instalador.exe" -Algorithm SHA256

El comando lee el archivo; no lo ejecuta. Compara el valor completo de Hash con el publicado en el sitio oficial, para la misma versión y arquitectura. Si difiere, no lo instales: confirma que elegiste el archivo correcto y vuelve al proveedor. Un hash publicado en la misma página falsa no aporta autenticidad; una coincidencia tampoco demuestra que el software sea inocuo.

Fuente: Get-FileHash de Microsoft. Si no existe una suma oficial, no inventes una: utiliza la distribución oficial y las comprobaciones de firma y seguridad disponibles.

Mi criterio final

Mi regla de descarga es simple: el archivo empieza a evaluarse antes de llegar al disco. Dominio, origen, firma y comportamiento del instalador pesan más que un botón grande que diga ‘Descargar ahora’.