Cómo detectar procesos sospechosos y malware en Linux
Durante años se ha repetido la idea de que Linux es inmune a los virus. Aunque Linux sigue siendo uno de los sistemas operativos más seguros disponibles, la realidad es que ningún sistema está completamente libre de amenazas.
El malware para Linux existe, los ataques existen y también pueden aparecer procesos extraños consumiendo recursos sin que el usuario lo note. La buena noticia es que Linux incorpora excelentes herramientas para monitorear lo que ocurre en el sistema y detectar comportamientos sospechosos.
En esta guía veremos cómo identificar procesos inusuales, revisar conexiones de red, analizar el sistema en busca de malware y utilizar algunas herramientas gratuitas que pueden ayudarte a mantener tu equipo bajo control.
¿Debo preocuparme?
No necesariamente. La mayoría de usuarios domésticos nunca tendrán problemas graves relacionados con malware. Sin embargo, aprender a revisar periódicamente el sistema es una buena práctica que puede ayudarte a detectar errores, configuraciones incorrectas o incluso amenazas reales.
Si todavía no lo leíste, este artículo complementa perfectamente nuestra guía sobre ¿Linux necesita antivirus? y también el post sobre cómo hacer tu Linux más seguro.
1. Revisar los procesos activos con htop
Uno de los primeros lugares donde buscar comportamientos extraños es la lista de procesos activos.
Instalá htop:
# Debian / Ubuntu / Linux Mint
sudo apt install htop
# Fedora
sudo dnf install htop
# openSUSE
sudo zypper install htop
# Arch / Manjaro
sudo pacman -S htopLuego ejecutá:
htopPrestá atención a:
- Procesos consumiendo CPU constantemente.
- Uso excesivo de memoria RAM.
- Nombres desconocidos o extraños.
- Procesos ejecutándose con permisos elevados sin razón aparente.
2. Ver qué servicios arrancan automáticamente
Algunos programas maliciosos intentan ejecutarse automáticamente al iniciar sesión.
Podés revisar los servicios habilitados con:
systemctl list-unit-files --state=enabledY también los servicios específicos del usuario:
systemctl --user list-unit-files --state=enabledSi encontrás algo que no reconocés, investigá antes de eliminarlo.
3. Revisar conexiones de red activas
Un proceso sospechoso suele comunicarse con servidores externos. Linux permite revisar fácilmente las conexiones abiertas.
ss -tulpnEste comando muestra:
- Puertos abiertos.
- Conexiones activas.
- Aplicaciones asociadas.
Si detectás conexiones persistentes hacia direcciones desconocidas, conviene investigarlas.
4. Analizar el consumo de recursos
Muchos usuarios descubren problemas porque el equipo comienza a comportarse de forma extraña:
- Ventiladores funcionando constantemente.
- CPU al 100% sin motivo.
- Aumento del consumo energético.
- Rendimiento degradado.
Además de htop, podés usar:
topo una alternativa moderna:
btop
5. Buscar rootkits con rkhunter
Rootkit Hunter (rkhunter) es una herramienta clásica para buscar indicadores de compromiso en sistemas Linux.
Instalación
# Debian / Ubuntu / Linux Mint
sudo apt install rkhunter
# Fedora
sudo dnf install rkhunter
# Arch Linux
sudo pacman -S rkhunterActualizar firmas:
sudo rkhunter --updateEjecutar un análisis:
sudo rkhunter --check6. Escanear el sistema con ClamAV
ClamAV es probablemente el antivirus más conocido dentro del ecosistema Linux.
Instalación
# Debian / Ubuntu / Linux Mint
sudo apt install clamav clamav-daemon
# Fedora
sudo dnf install clamav clamav-update
# openSUSE
sudo zypper install clamav
# Arch / Manjaro
sudo pacman -S clamavActualizar firmas:
sudo freshclamEscanear una carpeta:
clamscan -r /home7. Revisar tareas programadas
Algunos programas maliciosos utilizan tareas programadas para ejecutarse periódicamente.
Revisá las tareas del usuario:
crontab -lY también las del sistema:
sudo crontab -lAdemás, verificá el contenido de:
/etc/cron.d/
/etc/cron.daily/
/etc/cron.weekly8. Verificar la integridad de paquetes instalados
En sistemas basados en Debian existe una herramienta poco conocida llamada debsums.
sudo apt install debsumsComprobar archivos modificados:
sudo debsums -sPuede ayudar a detectar cambios inesperados en archivos pertenecientes a paquetes oficiales.
Aplicaciones recomendadas
- htop — monitor interactivo de procesos.
- btop — monitor moderno y visual.
- ClamAV — antivirus de código abierto.
- rkhunter — detección de rootkits.
- Wireshark — análisis de tráfico de red.
- Timeshift — snapshots del sistema.
# Debian / Ubuntu / Linux Mint
sudo apt install htop btop clamav clamav-daemon rkhunter wireshark timeshift
# Fedora
sudo dnf install htop btop clamav wireshark
# openSUSE
sudo zypper install htop btop clamav wireshark
# Arch / Manjaro
sudo pacman -S htop btop clamav wireshark rkhunterEnlaces útiles
- Sitio oficial de ClamAV
- Proyecto rkhunter
- Wireshark
- LinuxSecurity
- Arch Wiki – Security
- Ubuntu Security
- Debian Security
Conclusión
Detectar procesos sospechosos en Linux no significa vivir preocupado ni pensar que tu sistema está comprometido. Se trata simplemente de conocer las herramientas que el propio sistema pone a tu disposición para monitorear lo que ocurre y reaccionar rápidamente ante comportamientos inusuales.
La combinación de monitoreo periódico, actualizaciones regulares y buenas prácticas de seguridad suele ser suficiente para mantener un entorno Linux saludable y confiable. Y si alguna vez notás algo extraño, ahora ya sabés por dónde empezar a investigar.
La entrada Cómo detectar procesos sospechosos y malware en Linux se publicó primero en NotiLinux.com.
