Cómo el Virus Troyano XMRig se Infiltra en su Sistema Informático

¿Qué es el virus troyano XMRig?

El virus troyano XMRig es una versión camuflada de XMRig, un minero de criptomonedas legítimo y de código abierto, que los atacantes instalan en secreto en computadoras, servidores y sistemas en la nube. Una vez instalado, el malware XMRig secuestra la capacidad de procesamiento de la víctima para minar Monero en beneficio del atacante, una práctica conocida como cryptojacking.

XMRig es una de las herramientas más utilizadas de forma abusiva en el cibercrimen, pero lo que confunde a muchos es que XMRig en sí no es malware. Es un programa de minería gratuito y altamente optimizado, disponible en GitHub, que sigue recibiendo mantenimiento activo con nuevas versiones en 2026. La etiqueta de «troyano» proviene de la forma en que los delincuentes lo distribuyen. Reempaquetan XMRig y lo esconden dentro de algo en lo que la víctima confía o que desea, como una actualización de software, una aplicación gratuita o un proceso de servidor comprometido.

En esta guía, nuestros expertos explican cómo funciona el malware XMRig, cómo llega a sus sistemas, a quién ataca, cómo reconocerlo y eliminarlo, y cómo mantenerlo fuera de forma definitiva.

Cómo funciona el malware XMRig

Criptomonedas como Bitcoin y Monero utilizan un proceso llamado prueba de trabajo (proof of work) para proteger sus cadenas de bloques. Las computadoras compiten para resolver problemas que exigen un gran esfuerzo de cómputo, y quien resuelve uno primero agrega el siguiente bloque a la cadena y obtiene una recompensa. Cuanta más capacidad de cómputo controla un minero, más recompensas obtiene.

Los mineros legítimos pagan por esa capacidad de cómputo en hardware y electricidad. Los cryptojackers, en cambio, la roban, y la víctima paga las facturas.
XMRig es la herramienta preferida por varias razones:

Mina Monero. Monero es una criptomoneda centrada en la privacidad, mucho más difícil de rastrear que Bitcoin, lo que la hace ideal para el lucro criminal.
Funciona con CPU comunes. El algoritmo de minería de Monero, RandomX, está diseñado deliberadamente para ejecutarse de forma eficiente en procesadores de uso cotidiano y no en hardware especializado. Eso hace que las computadoras empresariales comunes valgan la pena de robar.
Se ejecuta casi en cualquier lugar y es fácil de personalizar. XMRig funciona en Windows, Linux, macOS, Kubernetes e instancias en la nube, y su código abierto es sencillo de modificar e integrar en otro malware.

Cómo reconocer XMRig

El disfraz original: falsas actualizaciones de Adobe Flash

Una de las primeras campañas más conocidas del troyano XMRig, investigada por los especialistas de Palo Alto Networks, camuflaba el minero como una actualización de Adobe Flash Player, e incluso instalaba una actualización real de Flash para que el engaño resultara convincente. Varios detalles lo delataban:

El instalador indicaba un editor desconocido, cuando una actualización genuina debería indicar Adobe.
La computadora se volvía lenta de repente, porque el minero consumía una gran parte de la capacidad de la CPU.
La computadora se sobrecalentaba durante largos períodos, lo que reduce la vida útil del hardware.
Aparecían programas y archivos desconocidos en el sistema, como Winserv.exe.

Cómo se disfraza XMRig hoy

Flash ya no existe, pero el troyano XMRig simplemente adoptó nuevos disfraces.

Software pirata y crackeado. En febrero de 2026, investigadores de Trellix dieron a conocer una campaña que utilizaba paquetes de software pirata, presentados como aplicaciones de ofimática premium gratuitas, para desplegar un minero XMRig personalizado. Kaspersky también rastreó la propagación de XMRig a través de torrents de videojuegos crackeados hasta llegar a redes corporativas, probablemente por descargas personales de empleados en computadoras de trabajo.

Vulnerabilidades explotadas. Cuando se divulga una falla crítica, los mineros de criptomonedas suelen estar entre las primeras cargas maliciosas que despliegan los atacantes. Tras la divulgación de la vulnerabilidad React2Shell, de máxima gravedad, a finales de 2025, investigadores de Wiz observaron campañas que la utilizaban para instalar XMRig. Darktrace incluso encontró un exploit generado por IA que hacía lo mismo, una señal de cómo la IA ha reducido la barrera de entrada al cibercrimen.

Credenciales robadas. Según Expel, XMRig se ha desplegado después de que los atacantes comprometieran credenciales de aplicaciones de administración remota, mediante ataques de fuerza bruta contra SSH y como carga de malware de uso común.

Terceros de confianza. La campaña de XMRig más sofisticada de 2026 comenzó con un proveedor. Group-IB identificó en mayo de 2026 una campaña encubierta de minería de Monero en la que los atacantes obtuvieron acceso a través de una relación de confianza con un tercero y se desplazaron hacia la red principal de la víctima sin ser detectados. Una vez dentro, suplantaron cuentas de usuario estándar, desactivaron los servicios de registro, manipularon los registros de autenticación y camuflaron el minero con nombres de procesos legítimos como «ssh». Group-IB describió el resultado como una cortina de humo forense.

Señales de advertencia de una infección por XMRig

Como XMRig es software legítimo, ningún indicador aislado confirma una infección por sí solo. La señal más sólida es que varios de estos aparezcan al mismo tiempo:

Señal de advertencia	Cómo se manifiesta	Dónde revisar
Uso elevado y sostenido de la CPU	Procesadores casi al máximo de su capacidad sin motivo de negocio, especialmente de noche	Administrador de tareas, top o htop, paneles de monitoreo
Calor, ruido y lentitud	Ventiladores funcionando sin parar y equipos que responden con lentitud	Tickets de soporte técnico, telemetría del hardware
Conexiones a pools de minería	Tráfico saliente hacia pools de minería de Monero conocidos	Registros del firewall, del proxy y de DNS
Persistencia inesperada	Nuevas tareas programadas, cron jobs o entradas de inicio que reinician un proceso después de detenerlo	Programador de tareas, crontab, claves Run del registro
Picos en los costos de la nube	Facturas de cómputo que se disparan sin un cambio de negocio que lo justifique	Alertas de facturación y reportes de uso de la nube
Registros faltantes o alterados	Servicios de registro desactivados o vacíos en los registros de autenticación	SIEM, verificaciones del reenvío de registros

Indicadores técnicos para los equipos de seguridad

Para los analistas del SOC y los equipos de threat hunting, vale la pena agregar a sus reglas de detección algunos artefactos específicos de XMRig:

El protocolo Stratum. Los mineros se comunican con los pools de minería mediante Stratum, así que busque las cadenas «stratum+tcp» o «stratum+ssl» en las líneas de comando de los procesos y en el tráfico de red.
Puertos habituales de los pools de minería. Los pools de minería utilizan con frecuencia puertos como 3333, 4444, 5555, 7777 y 14444. Las conexiones salientes hacia ellos desde servidores o estaciones de trabajo merecen una revisión más detallada.
Archivos de configuración. XMRig suele leer su configuración, incluidas las direcciones de los pools y los identificadores de billetera, desde un archivo llamado config.json ubicado junto al binario del minero.
Parámetros de línea de comando. Los listados de procesos pueden mostrar opciones de XMRig como «-o» seguida de la dirección de un pool, «–donate-level» o «–cpu-max-threads-hint».

Los atacantes cambian habitualmente el nombre del minero, así que combine estas verificaciones con alertas de comportamiento en lugar de depender únicamente de los nombres de archivo.

A quién ataca XMRig

XMRig suele describirse como oportunista, ya que los atacantes toman capacidad de cómputo donde la encuentren. Pero las campañas de 2026 demuestran que los objetivos más rentables no son las computadoras domésticas. Son las redes corporativas, los entornos en la nube y los proveedores que se conectan a ellos.

Las organizaciones de servicios financieros, salud y SaaS resultan especialmente atractivas, porque operan grandes flotas de servidores y cargas de trabajo en la nube, dependen de integraciones con terceros y a menudo mantienen sistemas heredados en funcionamiento por razones operativas o de cumplimiento normativo. Una sola cuenta en la nube comprometida en uno de estos entornos puede sostener mucha más minería que miles de computadoras domésticas.

Por qué XMRig es más que una molestia

Algunas recomendaciones tratan a XMRig como una prioridad baja porque el minero en sí no roba datos ni cifra archivos. Esa visión pasa por alto dos puntos.
Primero, los costos son reales. Una investigación de Sysdig determinó que por cada US$1 que un atacante mina en infraestructura en la nube robada, la víctima paga alrededor de US$53 en costos de cómputo.

Segundo, y más importante, un minero es evidencia de una brecha. Como han señalado los investigadores de Expel, un minero no autorizado suele indicar brechas de seguridad sin resolver, y cualquier atacante capaz de instalar XMRig podría instalar con la misma facilidad ransomware o una herramienta de robo de datos.

Cómo proteger su sistema informático

Los mismos fundamentos que detienen la mayor parte del malware también detienen al troyano XMRig:

Vaya más allá del antivirus tradicional. Un antivirus confiable con análisis programados sigue siendo una buena base, pero los atacantes reempaquetan XMRig constantemente para evadir la detección basada en firmas. Las herramientas de detección y respuesta en endpoints (EDR) que vigilan comportamientos sospechosos, como picos sostenidos de CPU o procesos que se hacen pasar por nombres de confianza, detectan mucho más.
Utilice filtrado web y de correo electrónico. Bloquee URL maliciosas conocidas, páginas de actualizaciones falsas, anuncios maliciosos y descargas sospechosas antes de que lleguen a los usuarios. Agregue monitoreo de red que genere alertas ante conexiones a pools de minería conocidos.
Capacite a su personal. Enseñe a los empleados a reconocer avisos de seguridad falsos y ventanas emergentes de actualización, y deje claro que el software pirata o crackeado nunca es aceptable en los dispositivos de trabajo.
Descargue actualizaciones solo de fuentes oficiales. Las actualizaciones de software deben provenir directamente del fabricante o de un sistema de actualización administrado de forma centralizada, nunca de una ventana emergente del navegador ni de un sitio de descargas de terceros.
Aplique parches rápidamente a los sistemas expuestos a internet. Priorice las aplicaciones web expuestas, las VPN y las interfaces de administración, ya que los mineros están entre las primeras cargas que despliegan los atacantes tras la divulgación de una vulnerabilidad importante.
Refuerce el acceso remoto. Exija autenticación multifactor en SSH, RDP y herramientas de administración remota, y monitoree la actividad de fuerza bruta.
Revise el acceso de terceros. Sepa qué proveedores pueden acceder a su entorno, cómo está delimitado ese acceso y si está monitoreado.
Proteja sus registros y sus entornos en la nube. Reenvíe los registros a una ubicación resistente a la manipulación y genere alertas cuando una fuente deje de enviar datos. En la nube, aplique líneas base de seguridad para pods de Kubernetes, active la detección de criptominería, como AWS GuardDuty Runtime Monitoring, y configure alertas de facturación ante un uso de cómputo inusual.

Cómo eliminar el malware XMRig

Borrar el archivo del minero no es suficiente. Los atacantes incorporan mecanismos de persistencia, y la debilidad que les permitió entrar sigue abierta. Trate cada hallazgo como el inicio de una investigación:

Aísle los sistemas afectados. Desconéctelos para evitar que cualquier cosa instalada por el atacante se propague.
Preserve la evidencia. Capture la memoria, los listados de procesos y los registros antes de la limpieza.
Detenga el minero y elimine la persistencia. Finalice el proceso de minería y luego elimine las tareas programadas, los cron jobs, los servicios, las entradas de inicio y las cuentas de usuario no autorizadas que lo reinician.
Identifique el vector de acceso inicial. Si no cierra la puerta que utilizó el atacante, este volverá.
Busque amenazas en todo el entorno. Los mineros rara vez se despliegan en una sola máquina.
Rote las credenciales. Restablezca las contraseñas, claves y tokens expuestos en los sistemas comprometidos.
Valide la corrección. Confirme mediante pruebas que la debilidad que utilizó el atacante realmente quedó cerrada.

Por qué las empresas usan Flash

Adobe puso fin oficialmente al soporte de Flash a finales de 2020, pero durante años muchas empresas siguieron utilizándolo, y esa historia explica por qué el disfraz de Flash de XMRig funcionó tan bien. Flash era útil para crear anuncios porque permitía a las empresas medir cuántos clics recibía un anuncio, y Flash Media Server incluía gestión de derechos digitales integrada que permitía a las empresas transmitir contenido protegiendo la URL y evitando que los datos quedaran almacenados en caché.

Flash ya no existe, pero el problema de fondo sigue presente. Las empresas todavía utilizan software desactualizado, dispositivos sin soporte y sistemas sin parches, porque actualizarlos requiere tiempo, dinero y planificación. Así es exactamente como surgen las vulnerabilidades, y es exactamente lo que buscan los operadores de XMRig. Cada aplicación heredada, servidor olvidado y dispositivo al final de su vida útil es un posible hogar para un minero.

Preguntas frecuentes sobre el malware XMRig

¿XMRig es un virus?

XMRig en sí es un software de minería legítimo y de código abierto. Se convierte en una amenaza cuando los delincuentes lo instalan sin el conocimiento del propietario, normalmente escondido dentro de un troyano, como una actualización falsa o software pirata.

¿XMRig es seguro?

XMRig solo es seguro si usted lo instaló intencionalmente para minar su propia criptomoneda. Si lo encuentra en un sistema de la empresa y nadie de su equipo lo instaló, trátelo como malware y como señal de una brecha.

¿Por qué está XMRig en mi computadora?

Si usted no lo instaló, lo más probable es que lo haya hecho un atacante, por lo general mediante una actualización de software falsa, un programa pirata o crackeado, una contraseña robada o una vulnerabilidad sin parchear.

¿Windows Defender detecta XMRig?

La mayoría de los antivirus y herramientas de endpoint modernos, incluido Microsoft Defender, detectan las versiones conocidas de XMRig, a menudo con nombres de minero de criptomonedas (coin miner) o de troyano. Las versiones modificadas pueden evadir la detección, y eliminar el minero no corrige la vulnerabilidad que le permitió entrar.

¿XMRig puede robar mis datos?

El minero utiliza su capacidad de procesamiento en lugar de robar archivos, pero el atacante que lo instaló tiene acceso a su sistema y puede desplegar con la misma facilidad herramientas de robo de datos o ransomware.

¿XMRig afecta a servidores Linux y entornos en la nube?

Sí. XMRig se encuentra con frecuencia en servidores Linux, instancias en la nube y clústeres de Kubernetes, donde puede elevar considerablemente los costos de cómputo antes de que alguien lo note.

Encuentre las brechas antes que un minero

Una infección por XMRig rara vez es el verdadero problema. Es un síntoma de un sistema sin parchear, una credencial débil, una conexión con un proveedor en la que se confía demasiado o una carga de trabajo en la nube que nadie estaba vigilando.

Confíe en los expertos de Orenda Security para encontrar las vulnerabilidades de su sistema antes que los atacantes. Nuestras pruebas de penetración de red externa e interna identifican los servicios expuestos y los controles de acceso débiles que explotan las campañas de cryptojacking. Nuestras pruebas de seguridad de aplicaciones descubren las fallas que los atacantes utilizan para implantar cargas maliciosas, y nuestras evaluaciones de nube y Kubernetes encuentran las configuraciones erróneas que convierten las cargas de trabajo en la nube en equipos de minería. Para una protección continua, nuestros servicios de pruebas de penetración continuas y gestión de vulnerabilidades avanzan al ritmo de las nuevas amenazas a medida que surgen.

¡Contáctenos hoy o solicita un presupuesto!