VirusTotal: comprobar un archivo o un enlace sin exponer tus datos

VirusTotal no sustituye a tu antivirus, y un resultado sin detecciones no garantiza que algo sea seguro.

Lo más importante: no subas nada privado. En el servicio gratuito, VirusTotal comparte lo que subes y sus resultados con empresas de seguridad. Nunca subas contratos, nóminas, facturas con datos personales, copias del DNI o del pasaporte, informes médicos, documentos de empresa o de clientes, bases de datos, copias de seguridad, código privado ni archivos con contraseñas o claves.

Existe un análisis privado (Private Scanning), pero es de pago y, como no comparte el archivo, tampoco da el veredicto de los antivirus.

Mejor buscar el hash que subir el archivo

El hash SHA-256Un cálculo que da la «huella» de un archivo: si cambia un solo byte, la huella cambia. Sirve para comprobar que lo que bajas es lo auténtico. es la «huella» de un archivo. Si VirusTotal ya lo conoce, ves el informe sin subir nada. Calcúlalo así:

Get-FileHash ".\archivo.exe" -Algorithm SHA256

shasum -a 256 archivo.dmg

sha256sum archivo.AppImage

Copia el resultado, pégalo en el buscador de virustotal.com y abre el informe si existe. Si no existe, decides si lo subes, recordando la regla de arriba.

Analizar un archivo

1. En virustotal.com, pestaña FILE.
2. Elige el archivo y comprueba que no lleva datos privados.
3. Confirma y espera al informe.

No ejecutes un archivo sospechoso «para probar».

Cómo leer el resultado

El número principal es detecciones / motores que lo analizaron. Un 3 / 70 significa que 3 lo marcaron y el resto no lo consideró malicioso en ese análisis. No significa que:

• 1 detección sea malware seguro,
• 0 detecciones sea un archivo seguro,
• ni que gane siempre la mayoría.

VirusTotal junta los resultados de otros; no da un veredicto propio.

Si hay detecciones, investigaQué mirar, en orden.

1. Qué motores lo detectan y si coinciden en el tipo de amenaza.
2. El nombre de la detección: troyano, adware, programa potencialmente no deseado (PUP), phishingUn engaño que imita una web o un mensaje legítimo para robarte contraseñas o datos.…
3. La firma digital: si la tiene, que el firmante sea quien esperas.
4. El origen: no es lo mismo la web oficial que una copia de una web cualquiera.
5. El hash: si el desarrollador publica el suyo, tiene que coincidir exactamente.
6. La fecha del informe: uno antiguo pudo hacerse con antivirus desactualizados; pide un reanálisis.
7. Behavior: si hay datos de lo que hizo al ejecutarse en un entorno aislado (procesos, archivos, conexiones).
8. Community: los comentarios ayudan, pero no son una prueba.

Los falsos positivos existen: un antivirus marca como malo algo legítimo. Solo lo puede corregir el antivirus que lo marcó. Una detección aislada pide investigar; varias no se ignoran.

Analizar un enlace

1. Copia el enlace sin abrirlo.
2. En virustotal.com, pestaña URL, pégalo y analiza.
3. Revisa detecciones, clasificación (limpio, phishing, malware…), dominio y comentarios.

Si varios motores lo marcan como phishing o malicioso, no lo abras. Y aunque salga limpio, comprueba que el dominio es exactamente el que esperas antes de escribir ninguna contraseña.

El mismo buscador sirve para consultar dominios, direcciones IP y hashes.

Más

Y, pase lo que pase, antivirus y sistema actualizados.