Comandos listos para revisar un equipo sospechoso sin instalar nada: estado del antivirus, persistencia, conexiones y exclusiones. Incluye un script que junta todo en un reporte para tu ticket, y qué hacer cuando Defender ni siquiera arranca.
# 1. Actualizar firmasUpdate-MpSignature# 2. Escaneo rápidoStart-MpScan -ScanType QuickScan# 3. Ver qué encontróGet-MpThreatDetection
Tres cosas que evitan la mayoría de los "no me funciona".
Clic derecho en el botón Inicio → Terminal (administrador). Sin permisos de administrador, la mayoría de estos comandos falla o muestra resultados incompletos.
Un escaneo con firmas antiguas no reconoce las amenazas nuevas. Corre siempre Update-MpSignature primero.
Si tienes otro antivirus o EDR, Defender queda apagado o en modo pasivo y sus comandos fallan. Si te aparece el error 0x800106ba, revisa primero esto.
Si atiendes el equipo de otra persona o vas a escalar el caso, junta primero la evidencia. Este script revisa el antivirus, Defender, las políticas, las exclusiones, la persistencia y las conexiones, y guarda un .txt en el Escritorio listo para adjuntar al ticket. No modifica nada.
$out = Join-Path ([Environment]::GetFolderPath('Desktop')) "triage-$env:COMPUTERNAME-$(Get-Date -Format yyyyMMdd-HHmm).txt"function S($t, $b) { "`r`n==== $t ===="; try { & $b | Format-List | Out-String -Width 300 } catch { "ERROR: $_" } }@( S 'Equipo' { Get-CimInstance Win32_OperatingSystem | Select CSName, Caption, Version, LastBootUpTime } S 'Antivirus registrados' { Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntivirusProduct | Select displayName, pathToSignedProductExe } S 'Servicio Defender' { Get-Service WinDefend -ErrorAction SilentlyContinue | Select Status, StartType } S 'Estado Defender' { Get-MpComputerStatus -ErrorAction SilentlyContinue | Select AMRunningMode, AntivirusEnabled, RealTimeProtectionEnabled, IsTamperProtected, AntivirusSignatureLastUpdated } S 'Politicas Defender' { Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender' -ErrorAction SilentlyContinue } S 'Exclusiones' { Get-MpPreference -ErrorAction SilentlyContinue | Select ExclusionPath, ExclusionProcess, ExclusionExtension } S 'Procesos fuera de Windows y Program Files' { Get-Process | Where { $_.Path -and $_.Path -notmatch '^C:\\(Windows|Program Files)' } | Select Name, Id, Path } S 'Conexiones establecidas' { Get-NetTCPConnection -State Established | Select RemoteAddress, RemotePort, OwningProcess, @{n='Proceso';e={(Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue).Path}} } S 'Inicio automatico' { Get-CimInstance Win32_StartupCommand | Select Name, Command, Location } S 'Tareas no Microsoft' { Get-ScheduledTask | Where { $_.TaskPath -notlike '\Microsoft*' } | Select TaskName, TaskPath, State, @{n='Ejecuta';e={($_.Actions | ForEach-Object Execute) -join '; '}} } S 'Servicios fuera de System32 y Program Files' { Get-CimInstance Win32_Service | Where { $_.PathName -and $_.PathName -notmatch 'System32|Program Files' } | Select Name, State, StartMode, PathName } S 'Eventos Defender 1116/5001/5007 (30 dias)' { Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'; Id=1116,5001,5007; StartTime=(Get-Date).AddDays(-30)} -ErrorAction SilentlyContinue | Select TimeCreated, Id, Message }) | Set-Content -Path $out -Encoding UTF8notepad $out
powershell -ExecutionPolicy Bypass -File .\triage.ps1.Si Update-MpSignature o Start-MpScan responden "se encontraron errores al intentar examinar tu dispositivo" (HRESULT 0x800106ba), el servicio de Defender no está corriendo. Casi siempre es porque tienes otro antivirus, pero también es un truco clásico del malware. Estos cuatro comandos te dicen cuál es tu caso.
# 1. ¿Qué antivirus tiene registrado Windows?Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntivirusProduct | Select displayName, pathToSignedProductExe# 2. ¿El servicio de Defender está corriendo?Get-Service WinDefend# 3. ¿En qué modo está Defender?Get-MpComputerStatus | Select AMRunningMode, AntivirusEnabled, RealTimeProtectionEnabled# 4. ¿Hay políticas que lo desactivan?Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender" -ErrorAction SilentlyContinue
DisableAntiSpyware = 1 en un PC sin dominio es señal de alerta.Windows apaga Defender a propósito para que dos antivirus no choquen. No es un problema: solo tienes que escanear desde el antivirus que está a cargo.
Si no hay otro antivirus y Defender igual está detenido, trata el equipo como comprometido hasta demostrar lo contrario.
DisableAntiSpyware o DisableRealtimeMonitoring y nadie de TI los configuró.Defender viene incluido en Windows 11 y se controla completo desde PowerShell. Empieza por el escaneo rápido; si sospechas algo, haz el completo.
# Actualizar firmasUpdate-MpSignature# Escaneo rápido (zonas donde suele esconderse el malware)Start-MpScan -ScanType QuickScan# Escaneo completo (todo el disco)Start-MpScan -ScanType FullScan
Start-MpScan -ScanType CustomScan -ScanPath "$env:USERPROFILE\Downloads"
Get-MpThreatDetectionGet-MpThreat
Start-MpWDOScan
"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -SignatureUpdate"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Scan -ScanType 2
-ScanType 1-ScanType 2-ScanType 3 -File "ruta"Un antivirus puede no detectar malware nuevo. Estos comandos te muestran lo que está corriendo, a quién se conecta tu PC y qué se inicia solo. En cada uno te decimos qué es normal y qué no.
Get-Process | Select Name, Id, Path | Sort PathGet-NetTCPConnection -State Established | Select LocalPort, RemoteAddress, RemotePort, OwningProcess, @{n='Proceso';e={(Get-Process -Id $_.OwningProcess).Name}}En CMD: netstat -ano
Get-CimInstance Win32_StartupCommand | Select Name, Command, LocationGet-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\RunGet-ItemProperty HKCU:\Software\Microsoft\Windows\CurrentVersion\Run
Get-ScheduledTask | Where {$_.TaskPath -notlike "\Microsoft*"} | Select TaskName, TaskPath, StateEn CMD: schtasks /query /fo LIST /v
Get-CimInstance Win32_Service | Select Name, State, PathName | Sort PathNameEn CMD: tasklist /svc
Get-MpPreference | Select ExclusionPath, ExclusionProcess, ExclusionExtensionGet-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" -MaxEvents 50Después de limpiar una infección, verifica que Windows no haya quedado con archivos alterados.
sfc /scannowDISM /Online /Cleanup-Image /RestoreHealth
También puedes ejecutar mrt para abrir la Herramienta de eliminación de software malintencionado de Microsoft.
Si Defender no encuentra nada, no funciona, o el equipo sigue raro, usa un escáner de otro fabricante. Son portables y no chocan con tu antivirus. Descárgalos siempre desde el sitio oficial y compruébalos con nuestro verificador de archivos.
autorunsc -a * -vt -hSitio oficial →
Process ExplorerAdministrador de tareas avanzado. Activa la revisión en VirusTotal para marcar procesos sospechosos en vivo.Sitio oficial →
SigcheckEncuentra ejecutables sin firma digital. sigcheck -u -e -vt C:\Windows\System32Sitio oficial →
Malwarebytes AdwCleanerElimina adware, barras de herramientas y programas no deseados.Sitio oficial →
Emsisoft Emergency KitPortable, incluye consola: a2cmd.exe /f=C:\ /deepSitio oficial →
HitmanProSegunda opinión en la nube. Gratis por 30 días.Sitio oficial →
Un aviso de Defender no siempre es grave, pero si ves conexiones raras, tareas que nadie creó o exclusiones que no agregaste, actúa en este orden.
Desconecta el cable de red y el Wi-Fi. No apagues el equipo si sospechas ransomware: la memoria puede tener información útil.
Conserva la nota de rescate y los archivos cifrados. Pagar no garantiza recuperar nada.
Usa nuestro diagnóstico y revisa si hay un descifrador gratuito.
En Chile puedes reportar al CSIRT Nacional (ANCI) y denunciar en la PDI. Revisa dónde denunciar.
Lo que más nos preguntan sobre revisar un PC con Windows 11.
En PowerShell como administrador: Update-MpSignature para actualizar y luego Start-MpScan -ScanType QuickScan (rápido) o Start-MpScan -ScanType FullScan (completo).
Que el servicio de Microsoft Defender no está corriendo. Es normal si tienes otro antivirus instalado (Bitdefender, ESET, Kaspersky, Sophos, etc.), porque Windows apaga Defender para que no choquen. Si no tienes otro antivirus, puede ser señal de que un malware lo desactivó. Aquí te explicamos cómo distinguirlo.
Con el comando Get-MpThreatDetection en PowerShell, o en Seguridad de Windows → Protección contra virus y amenazas → Historial de protección.
Desconecta el equipo de la red, no pagues el rescate, no borres los archivos cifrados ni la nota de rescate, y usa nuestro diagnóstico para identificar la variante y buscar un descifrador gratuito.
Escanear a mano sirve para un equipo. Para proteger a toda una empresa se necesita detección continua y respaldos que el ransomware no pueda tocar. DaiBackup lo resuelve con EDR, backup inmutable y protección de Microsoft 365.
Esta guía es orientativa y no reemplaza la revisión de un profesional de ciberseguridad. Los nombres de productos citados pertenecen a sus respectivos fabricantes; nomasransomware.com no tiene afiliación con ellos. Más detalles en nuestra política de privacidad.