Malware de Windows en Linux: el mito, los matices y los casos reales de riesgo

ClamAV (software antivirus open source) te escupe un nombre de detección con «Win» en el prefijo y la mente va directa al peor escenario. Lo entiendo. Pero tranquilo: lo que estás viendo no es lo que crees.

La pregunta de si el malware de Windows puede infectar Linux tiene una respuesta técnica concreta, no un «depende» etéreo. Vamos al grano.

#Por qué ClamAV detecta «Win.Trojan» en un sistema Linux

El origen de esta confusión está en el diseño original de ClamAV. Nació para proteger servidores de correo que corren en Linux pero gestionan adjuntos de Windows. Su base de firmas es, por tanto, mayoritariamente de amenazas para entornos Windows: .exe, .dll, macros de Office, ese tipo de cosas.

Cuando lo usas como escáner en tu escritorio de Arch Linux, el motor sigue buscando esas mismas firmas en todos los archivos que encuentra. Y a veces tropieza. Un archivo de Wine, una librería de Proton, un paquete comprimido en /var/lib/pacman/ que contiene algo que comparte una secuencia de bytes con una firma conocida. La detección se dispara.

Erraste en una cosa, aunque por poco: el prefijo «Win» no indica necesariamente que el troyano esté activo o que afecte a tu Linux. Indica que la firma corresponde a malware diseñado para Windows. Que ese archivo esté en tu disco no significa que pueda hacer nada en tu sistema.

#La barrera técnica real: ELF contra PE

Aquí viene la parte que muchos dan por sentada pero pocos entienden en detalle.

Linux ejecuta binarios en formato ELF (Executable and Linkable Format). Windows usa PE (Portable Executable), que hereda incluso un vestigio del antiguo MS-DOS con su cabecera «MZ» al inicio del archivo. Son dos mundos completamente distintos a nivel estructural.

Cuando intentas ejecutar un .exe en Linux sin Wine, el kernel lee las primeras cabeceras del archivo, no reconoce el formato PE y simplemente devuelve un error. El proceso ni arranca. No hay ejecución de código malicioso, no hay infección, no pasa absolutamente nada.

Hay una segunda capa de incompatibilidad que va más allá del formato: las llamadas al sistema. Incluso si de algún modo el kernel de Linux consiguiera leer el binario PE, las instrucciones internas del malware invocarían APIs de Windows (como kernel32.dll o la capa NT) que en Linux simplemente no existen. El resultado es el mismo: cero ejecución.

#Cuándo sí hay riesgo real

El escenario cambia si tienes Wine o Proton instalados. Estas herramientas reimplementan las APIs de Windows en Linux, traduciéndolas a llamadas del kernel local. Lo que significa que, técnicamente, si ejecutas deliberadamente un .exe malicioso con wine malware.exe, ese ejecutable sí puede correr.

Pero hay matices importantes. Wine no es una máquina virtual: no aísla el proceso del sistema de archivos de tu usuario. El malware que corriera en Wine tendría acceso a tu home, podría leer tus archivos, y en teoría descargar más cosas. Lo que no puede hacer fácilmente es escalar privilegios al root ni tocar el sistema base, porque el modelo de permisos de Linux sigue aplicando.

Existe otro escenario, más raro, que merece una mención: el malware de firmware. Algunos rootkits apuntan directamente a la UEFI o la BIOS, por debajo del sistema operativo. En ese caso, cambiar de Windows a Linux no elimina la amenaza porque el código malicioso vive en el firmware, no en el disco. Pero ese tipo de ataques son sofisticados, costosos de desarrollar y nada habituales en usuarios domésticos. Si usas Arch en tu portátil del día a día, es un vector que puedes descartar con tranquilidad.

#Cómo verificar si Win.Trojan.Genome-24 es un falso positivo

El primer paso es saber qué archivo concreto ha sido marcado. ClamAV lo muestra en la salida del escáner justo antes del nombre de la detección. Apunta esa ruta.

Después, lo más rápido es subir ese archivo a VirusTotal, que lo analiza con más de 70 motores antivirus simultáneamente. Si de esos 70 motores solo ClamAV (o uno o dos más) lo marcan, y el resto lo consideran limpio, es un falso positivo. Puedes estar tranquilo.

Si ClamAV sigue dando la lata con los mismos archivos tras confirmar que son falsos positivos, puedes excluir esas rutas del escaneo o añadir el hash del archivo a una lista blanca local:

Crea o edita el archivo ~/.clamav/false-positives.fp (o la ruta que uses en tu configuración de ClamAV):

# Obtener el hash del archivo para añadirlo a la lista blanca
sigtool --md5 /ruta/al/archivo/falso-positivo >> ~/.clamav/false-positives.fp

# Actualizar firmas para asegurarte de que no es un error ya corregido
sudo freshclam

También puedes reportar el falso positivo directamente al equipo de ClamAV desde su formulario oficial de falsos positivos. Estos se corrigen con frecuencia en las actualizaciones de firmas.

#Linux e inmunidad: desmontando el mito con matices

Linux no es inmune a todo. Esa afirmación simplificada le ha creado una falsa sensación de invulnerabilidad a más de un administrador de sistemas que luego ha tenido que repasar sus logs a las 2 de la madrugada con cara de póquer.

Lo que sí es cierto es que la superficie de ataque en Linux es estructuralmente distinta. El malware de Windows no puede ejecutarse de forma nativa. Los troyanos más comunes del mercado apuntan a Windows porque ahí está la mayoría de los objetivos. Pero Linux tiene sus propias amenazas reales: scripts maliciosos en Bash o Python, criptomineros que se instalan si descargas paquetes de fuentes dudosas, configuraciones de sudo mal definidas que permiten escalada de privilegios, o ataques de ingeniería social que te convencen de ejecutar algo como root.

La protección real en Arch Linux no viene de tener ClamAV corriendo en segundo plano asustándote con falsos positivos. Viene de usar los repositorios oficiales, revisar los PKGBUILD de los paquetes de AUR antes de instalarlos, mantener el sistema actualizado y no ejecutar binarios de fuentes aleatorias de internet. Lo de siempre, vamos.

#¿Borro el archivo o lo dejo estar?

Depende de lo que hayas encontrado. Si el archivo está en un directorio del sistema, en tu prefijo de Wine o en la caché de Pacman, no lo borres sin verificar antes. Eliminar un archivo de sistema o una librería de Wine puede romper aplicaciones o dejar el gestor de paquetes en un estado inconsistente.

El protocolo es: verificar en VirusTotal → si es falso positivo, añadirlo a la lista blanca de ClamAV → actualizar las firmas con freshclam → olvidarte del asunto.

Si el archivo está en una ubicación extraña, fue descargado de una fuente que no reconoces y VirusTotal lo detecta con varios motores, ahí sí que la situación cambia. Pero en un Arch Linux recién instalado con paquetes del repositorio oficial, ese escenario es prácticamente inexistente.

Esto lo escribo en julio de 2026. Las firmas de ClamAV se actualizan con frecuencia y algunos falsos positivos se corrigen en cuestión de días. Si llegas aquí tiempo después, ejecuta sudo freshclam y repite el escaneo antes de hacer nada más.