Windows 10 en VMware sobre Ubuntu para usar software de origen desconocido

Enfoque: se utiliza Windows 10 virtualizado en VMware sobre Ubuntu para ejecutar software cuyo contenido no se conoce, minimizando el riesgo para el equipo real y para la red.

🎯 Objetivo de seguridad

Se configura un laboratorio doméstico en el que el software potencialmente malicioso se ejecuta dentro de una máquina virtual (VM) y queda contenido mediante:

(1) aislamiento de red,

(2) reducción de canales de “escape” hacia el host, y

(3) reversión rápida a un estado limpio mediante snapshots.

La virtualización aporta una capa de aislamiento útil, pero no se considera un aislamiento absoluto; se requiere configuración segura y disciplina operativa, tal y como se recoge en las recomendaciones de NIST sobre tecnologías de virtualización. (Scarfone & Souppaya, 2011).

🧩 Arquitectura recomendada (capas)

Host (anfitrión): Ubuntu (equipo real y “limpio”).
Hipervisor: VMware Workstation Pro (sobre Ubuntu).
Guest (invitado): Windows 10 (solo para pruebas).
Red: Host-Only para evitar Internet y la LAN física.

El modo Host-Only crea una red contenida en el host (por ejemplo, VMnet1) y limita la conectividad de la VM al propio anfitrión, reduciendo la exposición a amenazas externas y la comunicación con infraestructuras de mando y control. (Broadcom, 2025a, 2025b).

🛡️ Por qué se prioriza “Host-Only” para software de origen desconocido

Cuando no se conoce el contenido real de un instalador, crack, herramienta “gratuita” o ejecutable descargado, se asume riesgo de:

troyanos (control remoto),
descarga de cargas adicionales (dropper),
ransomware y destrucción de datos,
robo de credenciales o cookies,
persistencia (arranque automático) y sabotaje.

Con Host-Only se reduce especialmente la capacidad de: (a) descargar módulos adicionales, (b) comunicarse con servidores externos, y (c) exfiltrar datos. No obstante, se mantiene que el aislamiento de red no es una defensa directa frente a un hipotético VM escape (escape de la VM), por lo que se añaden medidas de endurecimiento. (MITRE, 2019).

⚙️ Configuración segura en VMware (Ubuntu host)

1) Red Host-Only

Se configura el adaptador de red de la VM en modo Host-Only.
Se verifica que la VM no tiene salida a Internet y no ve la red física.
Se evita NAT o Bridged durante la fase de prueba.

Referencia técnica del modo Host-Only y su configuración en Workstation Pro: Broadcom (2025a, 2025b).

2) Se desactivan canales de integración host↔guest

Se desactiva portapapeles bidireccional (copiar/pegar entre host y VM).
Se desactiva arrastrar y soltar.
Se desactivan carpetas compartidas (si se usan, se hace solo de forma temporal y se elimina después).
Se evita la conexión automática de USB al invitado.

3) Snapshots (punto de retorno)

Se crea un snapshot llamado, por ejemplo, “Windows 10 limpio” (estado base).
Antes de cada prueba, se crea un snapshot adicional: “Pre-prueba”.
Tras la ejecución, se revierte la VM al snapshot limpio.

4) Usuario estándar dentro de Windows 10

Se ejecuta el software dudoso con un usuario sin privilegios administrativos siempre que sea viable. Este enfoque reduce impacto y dificulta modificaciones profundas del sistema.

📦 Cómo introducir el archivo “dudoso” con el menor riesgo

Se prioriza un flujo con mínima interacción host↔guest:

Opción recomendada: se monta una ISO con el archivo en la VM y se evita compartir carpetas.
Opción alternativa (temporal): se habilita carpeta compartida solo para copiar, se deshabilita inmediatamente y se elimina el archivo del host.
Se evita ejecutar el archivo directamente desde el host o mantenerlo accesible de forma permanente.

🔎 Ejecución controlada: qué se observa durante la prueba

Durante la ejecución se actúa como si se tratara de un entorno potencialmente comprometido:

no se introducen credenciales reales (correo, bancos, cuentas personales),
no se accede a información sensible,
no se reutilizan contraseñas del entorno real,
no se conecta la VM a Internet “para ver si funciona”.

Se monitoriza (observación básica):

Procesos y consumo: Administrador de tareas / Monitor de recursos.
Alertas: Seguridad de Windows (historial de protección).
Persistencia: revisión de elementos de inicio.

Como apoyo, se pueden utilizar herramientas de diagnóstico de Sysinternals (p. ej., Process Explorer y Autoruns) para revisar procesos y entradas de autoarranque. (Microsoft, 2024; Microsoft, 2025).

🧱 Endurecimiento de Windows 10 dentro de la VM

1) Se mantiene Microsoft Defender activo

Se activa la protección en tiempo real y se evita deshabilitarla, ya que parte del malware intenta desactivar defensas locales. En entornos gestionados, la tamper protection se utiliza para proteger ciertos ajustes de seguridad frente a cambios maliciosos. (Microsoft, 2025b).

2) Se valora “Controlled Folder Access” para mitigar ransomware

El acceso controlado a carpetas ayuda a proteger carpetas importantes frente a aplicaciones no autorizadas, con un enfoque especialmente útil ante ransomware. (Microsoft, 2025a; Microsoft, 2025c).

3) Se reduce la superficie de ataque

Se desinstala software innecesario.
Se minimizan permisos y se evita “ejecutar como administrador” por defecto.
Se deshabilitan servicios no necesarios para la prueba.

🧨 ¿Y si el malware intenta “salir” de la VM (VM escape)?

Se considera que un VM escape requiere, típicamente, una vulnerabilidad explotable del hipervisor y un malware diseñado específicamente para ello. Este tipo de técnica se asocia a amenazas avanzadas y a escenarios dirigidos, no al malware masivo. En cualquier caso, la virtualización no se presenta como garantía absoluta, sino como un control que se refuerza con: (1) actualización del hipervisor, (2) desactivación de integraciones host↔guest, y (3) uso de un host dedicado o de bajo valor. (Scarfone & Souppaya, 2011).

Además, se tiene en cuenta que muchos adversarios aplican técnicas de virtualization/sandbox evasion para detectar que se ejecuta en VM y alterar su comportamiento (por ejemplo, “no hacer nada” o retrasar acciones). (MITRE, 2019).

✅ Procedimiento operativo recomendado (resumen en 10 pasos)

Se utiliza un Ubuntu host actualizado y con uso preferentemente “de laboratorio”.
Se instala VMware y se mantiene actualizado.
Se crea una VM Windows 10 solo para pruebas.
Se configura red Host-Only.
Se desactivan portapapeles bidireccional, drag&drop, carpetas compartidas permanentes y USB automático.
Se actualiza Windows 10 (fase previa) y se crea snapshot “Windows 10 limpio”.
Se introduce el archivo dudoso mediante ISO o método temporal.
Se ejecuta con usuario estándar y sin credenciales reales.
Se observa actividad (procesos/alertas/persistencia) y se documenta.
Se revierte al snapshot limpio y se descarta el estado de la prueba.

📚 Integración en el índice del libro CIBERMURO (dónde se ubica)

Este contenido se integra de forma natural en el bloque de construcción del entorno y aislamiento de Windows para tareas de riesgo. Se propone incorporarlo como un post/subapartado dentro del capítulo de entorno CIBERMURO, y enlazarlo también desde el capítulo dedicado a uso seguro de Windows.

CAPÍTULO 3 · CREAR EL ENTORNO CIBERMURO
- Post nuevo (propuesta): 3.X · Windows 10 virtualizado (VMware en Ubuntu) para ejecutar software de origen desconocido
- Se conecta con: arranque dual, compartimentación y estrategia “Windows para tareas controladas”.
Capítulo de Windows seguro (en el índice oficial 0–16):
- Enlace cruzado (propuesta): apartado “Ejecución segura de software no confiable” (remite a este Post 3.X).

cibermuro 2026

🔗 Referencias

Broadcom. (2025a, 10 octubre). Configuring Host-Only Networking. Broadcom TechDocs. https://techdocs.broadcom.com/
Broadcom. (2025b, 10 octubre). Configure Host-Only Networking for an Existing Virtual Machine. Broadcom TechDocs. https://techdocs.broadcom.com/
MITRE. (2019). Virtualization/Sandbox Evasion (T1497). MITRE ATT&CK. https://attack.mitre.org/techniques/T1497/
Microsoft. (2024, 6 febrero). Autoruns. Sysinternals (Microsoft Learn). https://learn.microsoft.com/en-us/sysinternals/downloads/autoruns
Microsoft. (2025, 16 diciembre). Process Explorer. Sysinternals (Microsoft Learn). https://learn.microsoft.com/en-us/sysinternals/downloads/process-explorer
Microsoft. (2025a, 20 octubre). Protect important folders with controlled folder access. Microsoft Learn. https://learn.microsoft.com/en-us/defender-endpoint/controlled-folders
Microsoft. (2025b, 20 octubre). Protect security settings with tamper protection. Microsoft Learn. https://learn.microsoft.com/en-us/defender-endpoint/prevent-changes-to-security-settings-with-tamper-protection
Microsoft. (2026, 5 enero). Enable controlled folder access. Microsoft Learn. https://learn.microsoft.com/en-us/defender-endpoint/enable-controlled-folders
Scarfone, K., & Souppaya, M. (2011). Guide to Security for Full Virtualization Technologies (NIST SP 800-125). National Institute of Standards and Technology. https://nvlpubs.nist.gov/nistpubs/legacy/sp/nistspecialpublication800-125.pdf