Cómo detectar y poner malware en cuarentena con integraciones RMM

Desplegar mecanismos de detección y contención de malware es una de las mejores formas de proteger los endpoints. Además, integrar estas estrategias en plataformas de monitorización y gestión remota (RMM) permite a los proveedores de servicios gestionados (MSP) optimizar tareas automatizando respuestas y reducir así el tiempo de reacción. Las integraciones RMM también aumentan la visibilidad sobre todos los endpoints de los clientes, lo que reduce la superficie de ataque.

Por eso es fundamental saber cómo configurar las integraciones RMM para detectar y poner malware en cuarentena. Con una integración adecuada, los MSP pueden identificar amenazas, aislar automáticamente los equipos infectados, escalar alertas y mantener el cumplimiento gracias al registro de eventos y los informes. En esta guía te mostramos las estrategias para integrar el RMM en tu sistema mediante PowerShell, CMD, monitorización del registro, objetos de directiva de grupo (GPO) y registros de eventos para combatir los ataques de malware. Todo ello ayuda a los MSP a identificar amenazas.

Resumen rápido

🎥 Esta guía también está disponible en vídeo: Cómo detectar y poner malware en cuarentena con integraciones RMM.

Requisitos previos para una respuesta al malware basada en RMM

Antes de configurar la respuesta al malware basada en RMM, comprueba que tu entorno cumple estos requisitos:

• Una plataforma RMM con capacidades de scripting, alertas y automatización (por ejemplo, NinjaOne)
• Software antivirus activo en los endpoints, como Microsoft Defender o herramientas de terceros como SentinelOne o Bitdefender
• Acceso a PowerShell 5.1 o posterior, o a CMD para ejecutar comandos del antivirus mediante scripts
• Acceso a los registros de análisis del antivirus o a los registros de eventos de seguridad de Windows para monitorizar amenazas
• Configuraciones de GPO opcionales para aplicar los ajustes del antivirus y activar la protección en tiempo real

Tarea 1: usar PowerShell para detectar y poner malware en cuarentena

📌 Caso de uso:

PowerShell permite a los administradores de TI ejecutar scripts a través del RMM para buscar amenazas, registrar los eventos de detección y actuar en consecuencia. Está integrado funcionalmente con Microsoft Defender, lo que facilita la gestión de amenazas tanto manual como automatizada.

Estas son las tareas recomendadas que puedes realizar con PowerShell para prevenir de forma proactiva las amenazas de malware o responder a ellas a través del RMM.

1. Abre PowerShell como administrador. Pulsa la tecla Win, escribe PowerShell, haz clic con el botón derecho en Windows PowerShell y selecciona Ejecutar como administrador.
2. Ejecuta los siguientes comandos:

• • Para iniciar un análisis rápido:

Start-MpScan -ScanType QuickScan

• • Para revisar las amenazas detectadas:

Get-MpThreatDetection | Format-List

• • Para poner amenazas en cuarentena:

Remove-MpThreat -ThreatID <ID> -Quarantine

• • Para comprobar que la protección en tiempo real está activada:

Set-MpPreference -DisableRealtimeMonitoring $false

💡Papel del RMM: el RMM es una herramienta eficaz que ayuda a los administradores de sistemas a programar análisis diarios, registrar amenazas y poner automáticamente en cuarentena las infecciones en todos los endpoints.

Tarea 2: usar CMD para el análisis antivirus y la cuarentena

📌 Caso de uso:

Los dispositivos más antiguos pueden beneficiarse del análisis por línea de comandos con MpCmdRun.exe. Esta tarea también resulta útil cuando el acceso a PowerShell es limitado y el sistema necesita ejecutar scripts sencillos mediante archivos por lotes del RMM.

Estas son las tareas recomendadas con la herramienta de línea de comandos de Microsoft Defender (MpCmdRun.exe) que puedes ejecutar desde el símbolo del sistema para prevenir de forma proactiva las amenazas de malware o responder a ellas a través del RMM.

1. Pulsa Win + X y selecciona Símbolo del sistema (administrador) o Terminal de Windows (administrador). Si usas Terminal de Windows, asegúrate de estar en una pestaña del símbolo del sistema y no en PowerShell.
2. Ejecuta los siguientes comandos:

• • Para ejecutar un análisis rápido:

"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Scan -ScanType 1

• • Para ejecutar un análisis completo:

"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Scan -ScanType 2

• • Para consultar el historial de amenazas en cuarentena:

"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -GetFiles

💡 Papel del RMM: usa la automatización del RMM para desplegar scripts de CMD con análisis programados o condicionales, sobre todo en dispositivos con entornos de scripting limitados.

Tarea 3: monitorizar los registros de eventos para detectar actividad de malware

📌 Caso de uso:

Los administradores de TI pueden aprovechar que los registros de Microsoft Defender guardan constancia de todas las acciones importantes del sistema. Esa información sirve como fuente para monitorizar la actividad de las amenazas.

1. Abre el Visor de eventos pulsando Win + R, escribiendo eventvwr.msc y pulsando Intro.

2. Ve a:
Registros de aplicaciones y servicios > Microsoft > Windows > Windows Defender > Operational

3. Busca los ID de evento relevantes:

• • 1116: malware detectado
  • 1117: acción ejecutada
  • 2001: amenaza eliminada
  • 5001: protección en tiempo real desactivada
  • 5007: registro modificado (posiblemente por malware)
  • 5010: análisis de malware desactivado
  • 5012: análisis de virus desactivado
  • 5013: la protección contra manipulaciones ha bloqueado un intento de modificar la configuración de Microsoft Defender Antivirus

4. A continuación, puedes usar PowerShell para monitorizar estos registros con el siguiente comando:

Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" | Where-Object {$_.Id -eq 1116}

💡 Papel del RMM: las políticas del RMM se pueden configurar para vigilar estos eventos y activar una remediación automática. Entre esas acciones puede estar poner el endpoint en cuarentena o generar un ticket de soporte.

Tarea 4: usar los indicadores del registro DisableAntiSpyware y DisableAntiVirus para el aislamiento y el refuerzo del sistema

📌 Caso de uso:

Los administradores de TI pueden usar la configuración del registro para reforzar rápidamente el sistema. Los indicadores del registro también ofrecen información sobre el estado de la protección antivirus y ayudan a identificar los endpoints que hay que aislar.

Nota: Microsoft ha dejado obsoletos los ajustes del registro DisableAntiSpyware y DisableAntiVirus en las versiones más recientes de Windows 10 (a partir de la versión 1903) y en la versión 4.18.2108.4 de la plataforma Microsoft Defender y posteriores. Como Microsoft Defender ahora se desactiva automáticamente cuando detecta un antivirus de terceros correctamente instalado, estas claves del registro ya no son necesarias. Este cambio no afecta a las integraciones RMM ni a las conexiones de antivirus ajenos a Microsoft dentro de la aplicación Seguridad de Windows

1. Abre PowerShell como administrador. Pulsa la tecla Win, escribe PowerShell, haz clic con el botón derecho en Windows PowerShell y selecciona Ejecutar como administrador.
2. Ejecuta los siguientes comandos:

• • Para comprobar si Defender está desactivado:

Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender" -Name "DisableAntiSpyware","DisableAntiVirus"

• • Para volver a activar Defender:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender" -Name "DisableAntiSpyware" -Value 0

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender" -Name "DisableAntiVirus" -Value 0

• • Para activar la protección de red:

Set-MpPreference -EnableNetworkProtection Enabled

💡 Papel del RMM: monitorizar las claves del registro con el RMM permite detectar modificaciones maliciosas y facilita acciones rápidas de remediación o reversión.

Tarea 5: aplicar la configuración del antivirus mediante directivas de grupo

📌 Caso de uso:

Los objetos de directiva de grupo (GPO) permiten imponer una línea base estable en todos los dispositivos, de modo que la protección en tiempo real y la configuración de los análisis permanezcan activas.

1. Abre el Editor de directivas de grupo como administrador. Pulsa la tecla Win, escribe gpedit.msc y pulsa Ctrl + Mayús + Intro para ejecutarlo como administrador.
2. Ve a: Configuración del equipo > Plantillas administrativas > Componentes de Windows > Microsoft Defender Antivirus
3. Revisa cada uno de los siguientes ajustes y comprueba si están configurados correctamente:

💡 Papel del RMM: combinar las GPO con el RMM garantiza que los endpoints cumplan las políticas de seguridad y estén siempre preparados para responder al malware.

Tarea 6: poner endpoints en cuarentena mediante el aislamiento de red y servicios

📌 Caso de uso:

Esta tarea es clave para proteger los dispositivos frente a malware clasificado como de alto riesgo. Los administradores de TI pueden usar PowerShell para desactivar la conectividad y los servicios de riesgo.

1. Abre PowerShell como administrador. Pulsa la tecla Win, escribe PowerShell, haz clic con el botón derecho en Windows PowerShell y selecciona Ejecutar como administrador.
2. Ejecuta los siguientes comandos:

• • Para desactivar el adaptador de red:

Disable-NetAdapter -Name "Ethernet" -Confirm:$false

• • Para detener servicios clave:

Stop-Service -Name "RemoteRegistry" -Force

Stop-Service -Name "WinRM" -Force

• • Para bloquear el tráfico de salida:

New-NetFirewallRule -DisplayName "BlockOutbound" -Direction Outbound -Action Block -Enabled True

💡 Papel del RMM: los administradores de sistemas pueden lanzar estos scripts de forma condicional desde una herramienta RMM cuando se detecte malware. Así se reduce al mínimo el movimiento lateral y la exfiltración de datos.

⚠️ Aspectos a tener en cuenta

Otras consideraciones para la respuesta al malware mediante RMM

• Integración de antivirus de terceros: algunos antivirus ofrecen opciones de CLI o API para el análisis y el aislamiento.
• Falsos positivos: guarda siempre registros de todos los eventos y permite la reversión manual para evitar interrupciones.
• Flujos de escalado: los administradores de TI pueden elegir entre diversas soluciones RMM que también incluyen herramientas PSA integradas. Esto ayuda a agilizar los informes y la gestión de tickets.
• Licencias: confirma que las funciones de Defender o del antivirus tienen licencia completa y no están desactivadas por restricciones del fabricante.

Servicios de NinjaOne para detectar y poner malware en cuarentena mediante RMM

NinjaOne y sus herramientas te ayudan a detectar y responder de forma proactiva a las amenazas de malware.

Aprovechar el RMM para responder a las amenazas de malware

Integrar los flujos de detección y cuarentena de malware en las plataformas RMM convierte unas herramientas antivirus reactivas en soluciones de ciberseguridad proactivas. Con la ayuda de PowerShell, el símbolo del sistema y los registros de eventos, los proveedores de servicios gestionados y los administradores de sistemas pueden automatizar la detección y la respuesta ante el malware. Por su parte, el registro y las GPO ayudan a aplicar estrategias que estabilizan la postura de seguridad.

Herramientas RMM como NinjaOne complementan todos los pasos descritos y los hacen escalables. Reduce drásticamente el tiempo de respuesta y refuerza la seguridad de endpoints invirtiendo en integraciones RMM para defenderte del malware.

Temas relacionados:

• ¿Qué es el malware? Tipos, detección y prevención
• ¿Qué es la cuarentena en ciberseguridad?
• Cómo usar Windows Defender para buscar malware
• Cómo leer los registros de eventos de Windows: apagado y reinicio
• Cómo analizar manualmente archivos, carpetas y unidades en busca de malware en Windows 10