Cómo probar programas sospechosos sin infectarte usando Windows Sandbox

Informatec Digital » Recursos » Cómo probar programas sospechosos sin infectarte usando Windows Sandbox

Ejecutar programas desconocidos en Windows es una de las formas más habituales de meter malware, adware o de romper tu instalación sin querer. Descargas algo “rápido” de internet, lo abres sin pensarlo demasiado y, cuando te quieres dar cuenta, el sistema va lento, el navegador se llena de extensiones raras o aparecen ventanas emergentes por todas partes.

Para evitar estas situaciones, Microsoft incluye en Windows 10 y Windows 11 Pro, Enterprise y Education (si necesitas migrar de Windows 10 a Windows 11) una función muy potente llamada Windows Sandbox. Básicamente es como tener un Windows limpio, temporal y desechable dentro de tu propio PC, ideal para probar programas sospechosos sin arriesgar el sistema principal. Vamos a ver con calma qué es exactamente un “sandbox”, cómo funciona Windows Sandbox, qué requisitos tiene, cómo se activa y en qué se diferencia de otras soluciones como Sandboxie, VirtualBox o Hyper-V.

Qué es un software Sandbox y para qué sirve

Un software de tipo Sandbox crea un entorno aislado dentro del sistema operativo principal, usando técnicas de virtualización o de aislamiento a nivel de sistema. Ese entorno, conocido precisamente como “sandbox”, actúa como una especie de burbuja: todo lo que se ejecuta ahí dentro queda separado del resto del sistema, de modo que cualquier cambio, archivo o configuración que se modifique no afecta a Windows “de verdad”.

En la práctica, esto significa que podemos ejecutar aplicaciones potencialmente peligrosas, archivos adjuntos de correos sospechosos o herramientas en fase beta sin miedo a cargarnos nada. Si el programa resulta ser malicioso, se queda confinado en el sandbox y, al cerrarlo o reiniciarlo, todo lo que haya pasado dentro se descarta por completo.

Para conseguirlo, las soluciones de tipo sandbox suelen apoyarse en una capa de abstracción que funciona como una máquina virtual o como un filtro que intercepta llamadas al sistema. Esto implica un consumo extra de recursos (CPU, RAM, almacenamiento) porque el sistema tiene que “simular” o aislar ese entorno adicional, pero a cambio evitamos modificar el sistema operativo anfitrión, ni para bien ni para mal.

Este enfoque no solo es útil para quienes quieren probar programas sospechosos sin virus, sino también para cualquier usuario que desee testear aplicaciones, configuraciones o scripts sin dejar rastro de cambios, o para desarrolladores que necesitan reproducir escenarios limpios constantemente sin reinstalar Windows cada vez.

Además, los sandbox modernos son una herramienta clave de seguridad tanto en entornos domésticos como profesionales. Permiten contener amenazas, estudiar el comportamiento de malware, validar instaladores descargados de fuentes poco claras y, en general, reducir muchísimo el riesgo de que una prueba rápida termine en formateo obligado o pérdida de datos.

Windows Sandbox: el entorno desechable integrado en Windows

Windows Sandbox es la implementación de Microsoft de este concepto dentro de Windows 10 y Windows 11. Se trata de un entorno de escritorio aislado que se ejecuta utilizando la tecnología de virtualización Hyper-V, pero de forma totalmente integrada y simplificada: no hay que crear discos virtuales ni instalar un sistema operativo aparte, todo viene “de fábrica”.

Al abrir Windows Sandbox, se lanza una instancia limpia de Windows que se comporta como si acabara de ser instalada: solo están presentes las aplicaciones predeterminadas (como Microsoft Edge) y una configuración por defecto. No hay programas de terceros, ni restos de software, ni personalizaciones. Perfecto para probar desde cero si algo se porta bien.

El punto clave es que cada vez que cierres la ventana de Windows Sandbox, todo lo que haya ocurrido en su interior se borra sin posibilidad de recuperación: programas instalados, cambios en el registro, archivos descargados, configuraciones, etc. En la siguiente ejecución vuelves a tener un Windows totalmente nuevo, sin heredar nada de sesiones anteriores.

Esta función está disponible en Windows 10 versión 1903 o posterior y en Windows 11, siempre que tengas edición Pro, Enterprise o Education. Las versiones Home no incluyen oficialmente esta característica, por lo que en ese caso hay que recurrir a otras alternativas externas.

Requisitos y prerrequisitos para usar Windows Sandbox

Antes de poder disfrutar de este entorno aislado, es imprescindible comprobar que tu equipo cumple una serie de condiciones. No basta con tener un Windows relativamente moderno, ya que entran en juego tanto la edición del sistema como el hardware y la configuración de la BIOS/UEFI.

En cuanto al sistema operativo, necesitas Windows 10 Pro o Enterprise (1903 o superior) o cualquier edición Pro, Enterprise o Education de Windows 11 (consulta la configuración inicial de Windows 11 si acabas de migrar). Las variantes Home se quedan fuera oficialmente, ya que Microsoft reserva Windows Sandbox para las versiones “profesionales” del sistema.

En el apartado de procesador, el requisito mínimo es una CPU de 64 bits con al menos dos núcleos y soporte de virtualización (Intel VT-x o AMD-V, entre otras extensiones similares). Sin embargo, si quieres que la experiencia sea fluida, lo recomendable es contar con un procesador moderno de gama media o alta, con varios núcleos e hilos, como un Intel Core o un AMD Ryzen reciente con, por ejemplo, 6 núcleos y 12 hilos.

La memoria RAM es otro punto crítico: Microsoft indica 4 GB como mínimo para poder ejecutar Windows Sandbox, pero eso es solo la base. El entorno aislado consume parte de la RAM disponible, y además tienes que seguir usando el sistema principal al mismo tiempo. Por tanto, se aconseja disponer al menos de 8 GB para un uso cómodo, e incluso 12 GB o más si pretendes abrir aplicaciones pesadas dentro del Sandbox o trabajar en multitarea intensa.

En cuanto al almacenamiento, el espacio que ocupa Windows Sandbox es relativamente pequeño, ya que reutiliza componentes del propio sistema host. Aun así, necesitas tener margen suficiente en disco para los archivos temporales y cualquier programa que instales dentro del entorno. Si vas justo de espacio, notarás cierta penalización al crear y destruir sesiones.

Por último, es obligatorio que la virtualización por hardware esté activada en la BIOS/UEFI. En muchos equipos viene habilitada de serie, pero en otros hay que entrar a la configuración del firmware y activar las opciones de Intel VT-x, Intel VT-d, AMD-V o similares. Sin este soporte, Windows Sandbox no podrá utilizar Hyper-V y no funcionará.

Cómo instalar y activar Windows Sandbox en Windows

Una vez que tu equipo cumple los requisitos, habilitar Windows Sandbox es bastante sencillo. Puedes hacerlo por línea de comandos usando PowerShell o mediante la interfaz gráfica clásica de “Características de Windows”. Ambas rutas llegan al mismo resultado.

Si prefieres la consola, abre PowerShell con privilegios de administrador. Para ello, escribe “PowerShell” en el buscador del menú Inicio, haz clic derecho sobre el resultado y elige “Ejecutar como administrador”. Es importante tener permisos elevados, porque se va a activar una característica del sistema.

Con la ventana de PowerShell abierta, solo tendrás que ejecutar el siguiente comando para habilitar el componente necesario:

Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online

Tras completar el proceso, el sistema te pedirá reiniciar. Hasta que no reinicies el equipo, Windows Sandbox no aparecerá disponible, así que guarda lo que tengas abierto y acepta el reinicio. En equipos actuales este proceso no suele tardar más de un par de minutos.

Si no te llevas bien con la consola o simplemente no te apetece escribir comandos, puedes activar Windows Sandbox desde la interfaz gráfica. En el menú Inicio, busca “Activar o desactivar las características de Windows” y ábrelo. Se mostrará una ventana con una larga lista de componentes opcionales del sistema.

Dentro de esa lista, desplázate hasta encontrar “Windows Sandbox” o “Espacio aislado de Windows”, según el idioma de tu instalación. Marca la casilla correspondiente, pulsa en Aceptar y deja que Windows instale la característica. De nuevo, al terminar se te pedirá reiniciar el sistema para que los cambios entren en vigor.

Primeros pasos: cómo usar Windows Sandbox en el día a día

Con la función ya activa, abrir Windows Sandbox es tan sencillo como lanzar cualquier otra aplicación. Tan solo tienes que ir al menú Inicio y escribir “Windows Sandbox” o “Espacio aislado de Windows” en el buscador y ejecutar el resultado que aparece con el icono de Microsoft.

La primera vez que lo inicies, el arranque puede tardar un poco más de lo normal, ya que el sistema tiene que terminar de configurar el entorno virtual. No te preocupes si ves la pantalla en blanco durante unos segundos; en ejecuciones posteriores el tiempo de carga se reduce bastante y en pocos instantes tendrás el escritorio virtual listo.

Al entrar, verás un escritorio de Windows totalmente funcional, que suele estar en inglés y sin activar (es una licencia temporal para este entorno). Verás que solo están presentes las aplicaciones básicas del sistema, sin rastros de tus programas habituales, datos personales, ni personalizaciones. Es como un Windows “recién salido de la caja”.

Una de las ventajas es que la ventana del Sandbox se adapta automáticamente al tamaño que le des: al cambiar el tamaño de la ventana, se ajusta la resolución de pantalla interna y se comporta como una máquina virtual muy ligera. No tienes que andar toqueteando drivers gráficos ni configuraciones raras.

Dentro de este escritorio aislado podrás navegar por internet, descargar archivos, instalar programas y abrir documentos sospechosos prácticamente igual que si estuvieras en tu Windows principal. El entorno tiene acceso a la red a través de una interfaz virtual, lo que facilita descargar instaladores o hacer comprobaciones rápidas, aunque también implica que cualquier malware con capacidades de red podrá comunicarse hacia fuera, así que conviene usar el sentido común y, si te preocupa la privacidad, puedes activar DNS sobre HTTPS en Windows 11.

Para mover archivos desde tu sistema al Sandbox, puedes usar el portapapeles de Windows. Basta con copiar un archivo en el host (Ctrl + C) y pegarlo en el escritorio del entorno aislado (Ctrl + V). Con eso ya tienes el ejecutable o documento dentro del sandbox listo para ser probado. Los usuarios avanzados pueden, además, crear archivos de configuración .wsb para montar carpetas del host directamente en el entorno, pero eso ya es nivel más friki.

Cuando hayas terminado de probar lo que necesitabas, solo tienes que cerrar la ventana de Windows Sandbox utilizando la “X” de la esquina como en cualquier programa. Aparecerá un aviso claro indicando que se va a eliminar todo lo que haya dentro del entorno. Al confirmar, la máquina virtual se apaga y todos los cambios, archivos y programas instalados se destruyen definitivamente.

Si dentro del Sandbox has generado algún archivo que quieras conservar (por ejemplo, un documento limpio generado por un programa en el que no confiabas), recuerda copiarlo de vuelta o consultar guías de respaldo de la información antes de cerrar la ventana, de lo contrario desaparecerá junto con el entorno temporal.

Alternativas y comparación: Windows Sandbox, Sandboxie y máquinas virtuales

Aunque Windows Sandbox es muy práctico, no es la única forma de aislar software en Windows. Según lo que necesites, puede que te interese usar otras herramientas como Sandboxie o una máquina virtual completa con VirtualBox, VMware o el propio Hyper-V.

Sandboxie es una solución veterana que funciona a nivel del sistema operativo en lugar de lanzar un Windows completo dentro de otro. Básicamente, intercepta los accesos de la aplicación al registro, al sistema de archivos y a otros recursos, redirigiéndolos a un área aislada. Así, los cambios que hace ese programa no se escriben realmente en el sistema, sino en una “caja de arena” que se puede limpiar fácilmente.

La ventaja de Sandboxie es que tiene un consumo de recursos muy bajo y puede usarse incluso en ediciones Home de Windows o en versiones más antiguas del sistema. Además, permite aislar programas concretos (por ejemplo, solo el navegador o solo un instalador) sin necesidad de levantar un sistema operativo completo, y es posible tener varios entornos de Sandboxie en paralelo.

Las máquinas virtuales completas, por otro lado, como las de VirtualBox, VMware o Hyper-V, crean un ordenador virtual independiente con su propio disco, hardware emulado y sistema operativo instalado. Aquí el aislamiento es aún más fuerte, porque el sistema invitado se comporta como un equipo aparte, que puede ser incluso un sistema distinto (otra versión de Windows, una distribución Linux, etc.).

Su gran baza es la posibilidad de conservar el estado del sistema virtual entre sesiones. Puedes instalar programas de forma permanente, mantener configuraciones complejas, levantar servidores, o crear entornos de laboratorio con varias máquinas que interactúen entre sí. Además, dispones de funciones como las instantáneas o “snapshots”, que permiten congelar el estado de la máquina en un punto concreto y volver a él cuando quieras.

La cara negativa es que las máquinas virtuales consumen mucha más RAM y almacenamiento, porque cada VM necesita varios gigabytes de disco para el sistema y los datos, además de reservar memoria al arrancar. También requieren un poco más de paciencia en la configuración inicial: hay que crear la máquina, montar un ISO, instalar el sistema, actualizarlo y mantenerlo como si fuera un equipo real.

Frente a todo esto, Windows Sandbox apuesta por la inmediatez y la simplicidad: lo abres en segundos, pruebas lo que sea y, al cerrarlo, todo desaparece sin que tengas que gestionar discos virtuales ni estados guardados. Es ideal para pruebas rápidas y análisis de archivos o programas sospechosos que solo vas a abrir una vez o de forma muy puntual.

Hyper-V y laboratorios de pruebas persistentes

Si ya dispones de Windows 10 o 11 Pro o Enterprise, tienes a tu alcance también la plataforma de virtualización Hyper-V, que es la base sobre la que funciona Windows Sandbox, pero con muchas más opciones de personalización para escenarios avanzados.

Con Hyper-V puedes crear una o varias máquinas virtuales totalmente personalizadas, configurando cuánta CPU, memoria, disco y tarjetas de red virtuales quieres asignar a cada una. Es posible incluso dejar una máquina completamente sin acceso a internet, aislada de la red, ideal para diseccionar malware muy peligroso sin riesgo de que se comunique hacia el exterior.

Tras crear la máquina, tendrás que instalar un sistema operativo dentro de ella (Windows, Linux, etc.), utilizando una imagen ISO o una plantilla de sistema ya preparada. Una vez instalada, la VM se comporta como un PC independiente que puedes encender y apagar a tu gusto, manteniendo intactos los datos y las aplicaciones entre sesiones.

Uno de los grandes puntos fuertes de Hyper-V es la posibilidad de crear puntos de control o checkpoints. Esto permite tomar una “foto” del estado de la máquina virtual (sistema, programas, archivos y configuración) en un momento dado. Después puedes instalar software, probar configuraciones o incluso infectar la máquina de manera controlada, y si algo sale mal, simplemente restauras el checkpoint y vuelves al estado limpio inicial.

Esta filosofía recuerda bastante a la de un sandbox, pero con la ventaja de poder guardar y gestionar varios estados distintos: uno con el sistema recién instalado, otro con ciertas actualizaciones, otro con un conjunto concreto de aplicaciones, etc. Eso sí, cada punto de control ocupa espacio en disco adicional, por lo que conviene tener un buen margen de almacenamiento.

En entornos profesionales o para usuarios avanzados, es muy habitual montar laboratorios virtuales completos con Hyper-V: una máquina con Windows 10 sin conexión a red para pruebas de malware, otra con Windows Server para ensayar configuraciones de servicios, una tercera con Linux para desarrollo, y así sucesivamente, todo ejecutándose en el mismo equipo físico siempre que el hardware lo permita.

Para ponerlo en marcha, basta con habilitar Hyper-V desde “Activar o desactivar las características de Windows”, muy similar a lo hecho con Windows Sandbox, y después abrir la consola “Administrador de Hyper-V”, desde la que podrás crear y gestionar tus máquinas virtuales y sus checkpoints.

Cuándo usar Windows Sandbox y cuándo otras soluciones

En el día a día, Windows Sandbox encaja genial para esas situaciones rápidas en las que te llega un archivo adjunto dudoso, descargas un instalador de origen poco claro, o quieres curiosear con una aplicación que no piensas usar a largo plazo. Lo abres, haces la prueba, cierras la ventana y te olvidas, sabiendo que tu sistema principal se ha mantenido intacto.

Para usuarios que no quieren complicarse la vida con configuraciones complejas, esta función proporciona una “zona segura” inmediata sin necesidad de herramientas externas ni de tener un segundo ordenador. Especialmente en equipos de trabajo o de producción, puede ser una capa extra de seguridad muy interesante para filtrar software antes de instalarlo en el sistema real.

En cambio, si tu objetivo es mantener un entorno de pruebas durante mucho tiempo, con programas que quieres conservar instalados entre reinicios, configuraciones específicas o incluso servidores de prueba, probablemente te interese más optar por una máquina virtual clásica con Hyper-V, VirtualBox o VMware, donde tú decides cuándo borrar o restaurar estados.

Herramientas como Sandboxie pueden ser la opción ideal cuando solo quieres aislar aplicaciones puntuales sin levantar todo un sistema dentro de otro, o cuando trabajas con ediciones Home de Windows que no incluyen Windows Sandbox. En ese caso, aislar el navegador o el cliente de correo puede reducir el impacto de muchos ataques cotidianos sin consumir tantos recursos.

Con todo esto en mente, lo más inteligente es combinar varias estrategias según el escenario: usar Windows Sandbox para pruebas puntuales, recurrir a máquinas virtuales para laboratorios persistentes y, si es necesario, complementarlo con herramientas de sandbox a nivel de aplicación como Sandboxie. Así tendrás cubiertos tanto los casos rápidos del día a día como los entornos más complejos de desarrollo o análisis.

Gracias a este conjunto de opciones, cualquier usuario con Windows Pro o Enterprise puede reducir de forma drástica el riesgo al probar programas sospechosos o archivos peligrosos, aprovechando Windows Sandbox como primera barrera rápida y sencilla, y apoyándose en Hyper-V o soluciones de terceros cuando haga falta algo más robusto y duradero.

Artículo relacionado:

La importancia del respaldo de la información: Asegura la continuidad de tu negocio