{"id":899401,"date":"2026-10-14T16:12:28","date_gmt":"2026-10-14T16:12:28","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/eliminar-archivos-en-cuarentena-windows-11\/"},"modified":"2026-10-14T16:12:29","modified_gmt":"2026-10-14T16:12:29","slug":"eliminar-archivos-en-cuarentena-windows-11","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/eliminar-archivos-en-cuarentena-windows-11\/","title":{"rendered":"C\u00f3mo restaurar o eliminar archivos en cuarentena en Windows 11 de forma permanente"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Puntos clave<\/h2>\n<ul>\n<li><strong>La cuarentena a\u00edsla las amenazas de forma segura:<\/strong> Seguridad de Windows pone en cuarentena los archivos sospechosos para evitar da\u00f1os mientras los administradores investigan.<\/li>\n<li><strong>Restaura solo archivos validados:<\/strong> restaura los elementos en cuarentena \u00fanicamente despu\u00e9s de confirmar su origen, su hash y su uso en el negocio, para evitar una reinfecci\u00f3n por malware.<\/li>\n<li><strong>Elimina los archivos maliciosos o desconocidos:<\/strong> borra de forma permanente los archivos en cuarentena cuando el riesgo no est\u00e9 claro o est\u00e9 confirmado como malicioso, para reducir la exposici\u00f3n.<\/li>\n<li><strong>Usa Seguridad de Windows y PowerShell:<\/strong> gestiona los elementos en cuarentena desde el historial de protecci\u00f3n o con cmdlets de PowerShell cuando la interfaz gr\u00e1fica falle.<\/li>\n<li><strong>Reduce las exclusiones y documenta las acciones:<\/strong> aplica exclusiones acotadas, vuelve a analizar los sistemas y registra las decisiones para mantener pistas de auditor\u00eda y claridad operativa.<\/li>\n<\/ul>\n<\/div>\n<p>La cuarentena a\u00edsla posibles amenazas en un entorno seguro y te da tiempo para investigar sin poner en riesgo el sistema. Si compruebas que un archivo en cuarentena es seguro y cr\u00edtico para tu negocio, puedes restaurarlo y a\u00f1adirlo a la lista blanca para que no vuelva a marcarse. Si el archivo es malicioso o desconocido, puedes eliminarlo de forma permanente.<\/p>\n<p>En esta gu\u00eda ver\u00e1s c\u00f3mo restaurar o <strong>eliminar archivos en cuarentena en Windows 11<\/strong> de forma permanente con Seguridad de Windows y <a href=\"https:\/\/www.google.com\/url?sa=t&#038;rct=j&#038;q=&#038;esrc=s&#038;source=web&#038;cd=&#038;cad=rja&#038;uact=8&#038;ved=2ahUKEwiwof3Kt72WAxXgm-EIHUkyMKIQFnoECBYQAQ&#038;url=https%3A%2F%2Fwww.ninjaone.com%2Fit-hub%2Fendpoint-management%2Fwhat-is-powershell%2F&#038;usg=AOvVaw3qi_YXaTuubtcCTYy1V0vr&#038;opi=89978449\">PowerShell<\/a>, incluido qu\u00e9 hacer si los botones \u00abRestaurar\u00bb o \u00abQuitar\u00bb no responden.<\/p>\n<h2>Requisitos previos<\/h2>\n<ul>\n<li>Derechos de administrador local para las acciones en Seguridad de Windows y PowerShell<\/li>\n<li>Definiciones recientes y un stack de Microsoft Defender Antivirus en funcionamiento<\/li>\n<li>Posibilidad de volver a analizar y, si restauras, de a\u00f1adir una exclusi\u00f3n precisa<\/li>\n<\/ul>\n<h2>Decide si restaurar o eliminar<\/h2>\n<p>Antes de tocar cualquier elemento en cuarentena, decide qu\u00e9 acci\u00f3n encaja con el perfil de riesgo. Este paso evita restaurar malware por accidente y reduce brechas de seguridad.<\/p>\n<ul>\n<li>Restaura solo si has validado el origen del archivo, su hash y su uso en el negocio. Comprueba la ruta del archivo, la firma digital y si coincide con una versi\u00f3n conocida como buena de tu pipeline de despliegue de software.<\/li>\n<li>Elimina cuando el riesgo no est\u00e9 claro o el elemento est\u00e9 confirmado como malicioso. Es mejor borrar que crear exclusiones amplias, porque estas pueden generar puntos ciegos.<\/li>\n<li>En entornos gestionados, sigue tu checklist de respuesta a incidentes y tu proceso de control de cambios. Documenta el motivo de la decisi\u00f3n para las pistas de auditor\u00eda.<\/li>\n<\/ul>\n<h2>Usa el historial de protecci\u00f3n de Seguridad de Windows<\/h2>\n<p>La app Seguridad de Windows es la v\u00eda m\u00e1s r\u00e1pida para gestionar los elementos en cuarentena con registro de auditor\u00eda completo.<\/p>\n<ul>\n<li>Abre <strong>Seguridad de Windows<\/strong> &gt; <strong>Protecci\u00f3n antivirus y contra amenazas<\/strong> &gt; <strong>Historial de protecci\u00f3n.<\/strong><\/li>\n<li>Filtra por elementos <strong>En cuarentena <\/strong>para ver solo las amenazas aisladas.<\/li>\n<li>Selecciona una entrada, revisa los detalles y elige <strong>Restaurar <\/strong>o <strong>Quitar<\/strong>.<\/li>\n<li>Si restauras un archivo de confianza, a\u00f1ade de inmediato una exclusi\u00f3n muy concreta (ruta o hash) para evitar que vuelva a la cuarentena en el siguiente an\u00e1lisis.<\/li>\n<\/ul>\n<p>Este m\u00e9todo gr\u00e1fico sirve para la mayor\u00eda de los casos y genera registros de eventos que los equipos de seguridad pueden supervisar mediante integraciones con SIEM.<\/p>\n<h2>A\u00f1ade una exclusi\u00f3n m\u00ednima y concreta (solo si es necesario)<\/h2>\n<p>Las exclusiones reducen el ruido de detecci\u00f3n, pero ampl\u00edan la superficie de ataque, as\u00ed que delim\u00edtalas al m\u00e1ximo.<\/p>\n<ul>\n<li>En <strong>Seguridad de Windows<\/strong> &gt; <strong>Protecci\u00f3n antivirus y contra amenazas<\/strong> &gt; <strong>Administrar la configuraci\u00f3n <\/strong>&gt; <strong>Exclusiones<\/strong>, a\u00f1ade el \u00e1mbito m\u00e1s peque\u00f1o que desbloquee el archivo restaurado.<\/li>\n<li>Prioriza las exclusiones por archivo o por hash frente a las de carpeta o extensi\u00f3n. Las de hash son las m\u00e1s seguras porque quedan fijadas a una versi\u00f3n concreta del archivo.<\/li>\n<li>Despu\u00e9s de a\u00f1adir una exclusi\u00f3n, ejecuta un an\u00e1lisis r\u00e1pido para asegurarte de que no hay otras amenazas en la misma ubicaci\u00f3n y de que la exclusi\u00f3n no est\u00e1 incluyendo malware en la lista blanca sin que te des cuenta.<\/li>\n<\/ul>\n<h2>PowerShell cuando la interfaz gr\u00e1fica falla<\/h2>\n<p>A veces los botones Restaurar o Quitar de Seguridad de Windows parecen no responder, normalmente por errores de la interfaz o por registros de amenazas bloqueados. Los cmdlets de PowerShell evitan la interfaz gr\u00e1fica y act\u00faan directamente sobre el almac\u00e9n de amenazas.<\/p>\n<ul>\n<li>Lista las amenazas actuales: <em>Get-MpThreat<\/em><\/li>\n<li>Elimina todas las amenazas en cuarentena: <em>Remove-MpThreat -All<\/em><\/li>\n<li>Elimina una amenaza concreta: <em>Remove-MpThreat -ThreatID &lt;ID&gt;<\/em><\/li>\n<li>Vuelve a listar para confirmar: <em>Get-MpThreat<\/em><\/li>\n<\/ul>\n<p>Estos cmdlets suelen funcionar cuando las acciones de la interfaz gr\u00e1fica fallan y son ideales para la automatizaci\u00f3n en varios endpoints mediante scripts de RMM.<\/p>\n<h2>Valida el resultado y vuelve a analizar<\/h2>\n<p>Despu\u00e9s de cualquier restauraci\u00f3n o eliminaci\u00f3n, confirma que el endpoint est\u00e1 limpio y operativo:<\/p>\n<ul>\n<li>Si has restaurado un archivo, ejecuta un an\u00e1lisis r\u00e1pido y abre la aplicaci\u00f3n para comprobar que funciona como esperas.<\/li>\n<li>Si has eliminado un archivo, verifica que no falle ninguna tarea o servicio dependiente. Consulta <strong>Visor de eventos<\/strong> &gt; <strong>Registros de aplicaciones y servicios<\/strong> &gt; <strong>Microsoft <\/strong>&gt; <strong>Windows <\/strong>&gt; <strong>Windows Defender<\/strong> &gt; <strong>Operational <\/strong>para ver detecciones adicionales.<\/li>\n<li>En parques de dispositivos, registra la acci\u00f3n y su motivo en las notas de tu sistema de gesti\u00f3n de tickets o de RMM para mantener una pista de auditor\u00eda.<\/li>\n<\/ul>\n<h2>Reduce los falsos positivos en el futuro<\/h2>\n<p>Los falsos positivos repetidos hacen perder tiempo a los analistas y tientan a los administradores a crear exclusiones amplias y arriesgadas. Estos pasos ayudan a minimizar esos riesgos:<\/p>\n<ul>\n<li>Mant\u00e9n las definiciones de Defender actualizadas; Microsoft perfecciona continuamente su l\u00f3gica de detecci\u00f3n a partir de los informes de falsos positivos.<\/li>\n<li>Valora enviar el archivo seguro a Microsoft para su an\u00e1lisis a trav\u00e9s del portal Microsoft Security Intelligence. Si Microsoft lo incluye en la lista blanca, se benefician todos los tenants.<\/li>\n<li>Sustituye las exclusiones amplias de carpetas por exclusiones basadas en archivo o hash siempre que puedas.<\/li>\n<li>Integra este flujo de revisi\u00f3n de la cuarentena en tus playbooks de automatizaci\u00f3n de detecci\u00f3n y cuarentena, para que cada evento de cuarentena deje un registro de la decisi\u00f3n tomada.<\/li>\n<\/ul>\n<h2>Cu\u00e1ndo no debes restaurar<\/h2>\n<p>Algunos elementos no deber\u00edan restaurarse <strong>nunca<\/strong>, por mucha presi\u00f3n que haya desde el negocio.<\/p>\n<ul>\n<li>Elementos identificados como familias de malware conocidas, droppers de scripts o indicadores multipartitos.<\/li>\n<li>Archivos de procedencia desconocida y sin una justificaci\u00f3n clara para el negocio.<\/li>\n<li>Archivos que se vuelven a detectar una y otra vez incluso despu\u00e9s de la revisi\u00f3n del proveedor y de aplicar exclusiones por hash, lo que puede apuntar a malware polim\u00f3rfico.<\/li>\n<\/ul>\n<p>En estos casos, sigue tu playbook de respuesta a incidentes, escala al equipo de seguridad y no restaures.<\/p>\n<h2>Buenas pr\u00e1cticas<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Pr\u00e1ctica<\/strong><\/td>\n<td><strong>Objetivo<\/strong><\/td>\n<td><strong>Beneficio<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Decidir antes de actuar<\/td>\n<td>Evitar restauraciones arriesgadas<\/td>\n<td>Menos probabilidad de incidentes<\/td>\n<\/tr>\n<tr>\n<td>Empezar por la interfaz gr\u00e1fica<\/td>\n<td>Rapidez y trazabilidad<\/td>\n<td>Remediaci\u00f3n sencilla para el usuario<\/td>\n<\/tr>\n<tr>\n<td>Escalar a PowerShell<\/td>\n<td>Desbloquear acciones fallidas<\/td>\n<td>Menos cuarentenas sin resolver<\/td>\n<\/tr>\n<tr>\n<td>Exclusiones acotadas<\/td>\n<td>Limitar la superficie de ataque<\/td>\n<td>Operaci\u00f3n m\u00e1s segura a largo plazo<\/td>\n<\/tr>\n<tr>\n<td>Documentar las decisiones<\/td>\n<td>Trazabilidad operativa<\/td>\n<td>Mejores auditor\u00edas y an\u00e1lisis de causa ra\u00edz<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Resoluci\u00f3n de problemas<\/h2>\n<p><strong>Restaurar\/Quitar no hace nada:<\/strong> ejecuta los comandos de PowerShell <strong>Remove-MpThreat<\/strong> y vuelve a revisar el historial de protecci\u00f3n. La interfaz gr\u00e1fica puede estar desincronizada con el almac\u00e9n de amenazas.<\/p>\n<p><strong>El elemento vuelve a aparecer despu\u00e9s de restaurarlo: <\/strong>a\u00f1ade una exclusi\u00f3n precisa para el archivo o la ruta de confianza. Comprueba tambi\u00e9n que el ejecutable no haya cambiado de hash, ya que los archivos modificados pierden su exclusi\u00f3n.<\/p>\n<p><strong>El historial est\u00e1 saturado o resulta confuso: <\/strong>borra las entradas antiguas con los m\u00e9todos admitidos si lo necesitas y vuelve a probar. Un historial limpio facilita detectar nuevas amenazas.<\/p>\n<p><strong>No tienes claro si el archivo es seguro: <\/strong>no lo restaures. Sigue tu checklist de respuesta a incidentes y vuelve a analizar con las firmas actualizadas. En caso de duda, la cuarentena es m\u00e1s segura que la restauraci\u00f3n.<\/p>\n<p><strong>El archivo se queda en un bucle de \u00abremediaci\u00f3n fallida\u00bb: <\/strong>si una amenaza muestra \u00abRemediaci\u00f3n incompleta\u00bb o \u00abError\u00bb, puede que el archivo est\u00e9 bloqueado por otro proceso o que el sistema est\u00e9 pendiente de reinicio. Reinicia el endpoint, ejecuta un an\u00e1lisis sin conexi\u00f3n (Start-MpWDOScan) y comprueba si el estado se resuelve.<\/p>\n<p><strong>El historial de protecci\u00f3n est\u00e1 vac\u00edo o faltan elementos: <\/strong>si sabes que hab\u00eda elementos en cuarentena pero la lista aparece vac\u00eda, puede que el archivo de historial est\u00e9 da\u00f1ado. Restablece la app Seguridad de Windows desde <strong>Configuraci\u00f3n <\/strong>&gt; <strong>Aplicaciones <\/strong>&gt;<strong> Aplicaciones instaladas<\/strong> o borra manualmente la carpeta del historial de detecciones (C:\\ProgramData\\Microsoft\\Windows Defender\\Scans\\History\\Service) para forzar su reconstrucci\u00f3n.<\/p>\n<h2>En resumen<\/h2>\n<p>La cuarentena te da tiempo para tomar la decisi\u00f3n correcta. Usa Seguridad de Windows para restaurar o eliminar r\u00e1pido, recurre a PowerShell cuando haga falta, a\u00f1ade solo exclusiones m\u00ednimas y documenta tus decisiones para que los analistas que vengan despu\u00e9s entiendan los riesgos que se asumieron. Con este enfoque disciplinado, los endpoints siguen protegidos y las herramientas leg\u00edtimas del negocio pueden seguir funcionando.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>La cuarentena a\u00edsla posibles amenazas en un entorno seguro y te da tiempo para investigar sin poner en riesgo el sistema. Si compruebas que un archivo en cuarentena es seguro y cr\u00edtico para tu negocio, puedes restaurarlo y a\u00f1adirlo a la lista blanca para que no vuelva a marcarse. Si el archivo es malicioso o [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":775271,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357],"tags":[],"class_list":["post-899401","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/899401","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=899401"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/899401\/revisions"}],"predecessor-version":[{"id":899402,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/899401\/revisions\/899402"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/775271"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=899401"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=899401"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=899401"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}