Una nueva técnica descubierta en 2026 revela que los atacantes pueden manipular estructuras del kernel de Windows para ocultar procesos en ejecución de los sistemas de detección, incluso mientras capas de seguridad modernas como PatchGuard protegen el sistema. Analistas de Outflank identificaron un método que explota el tiempo de las comprobaciones de validación del sistema para ocultar actividades maliciosas a simple vista.

Una nueva técnica descubierta en 2026 revela que los atacantes pueden manipular estructuras del kernel de Windows para ocultar procesos en ejecución a los sistemas de detección, incluso mientras capas de seguridad modernas como PatchGuard protegen el sistema.

Los analistas de Outflank identificaron un método que explota el tiempo de las comprobaciones de validación del sistema para ocultar actividades maliciosas a simple vista.

Este descubrimiento pone de manifiesto una brecha crítica en la forma en que Windows gestiona la visibilidad de los procesos durante su finalización.

Mientras que los procesos permanecen operativos, funcionan de forma invisible para herramientas de monitorización como el Administrador de Tareas y Process Hacker, lo que hace que este enfoque sea ideal para mantener la persistencia sin un descubrimiento inmediato.

El ataque funciona manipulando las estructuras de datos internas que Windows utiliza para rastrear todos los procesos activos que se ejecutan en un sistema.

Los investigadores de Outflank han señalado que la aparición de este malware demuestra cómo los atacantes siguen encontrando formas creativas de sortear incluso los mecanismos de protección más sofisticados.

Microsoft diseñó múltiples capas de defensa, incluyendo PatchGuard, que realiza comprobaciones de integridad en las estructuras del kernel, y protecciones respaldadas por hipervisores que evitan la modificación directa de las páginas de código.

A pesar de estas defensas, el enfoque recién documentado sortea estas protecciones operando sobre datos en lugar de código.

La eficacia de la técnica depende de una sincronización precisa y de un conocimiento profundo del funcionamiento interno de Windows. Los atacantes no necesitan deshabilitar directamente los mecanismos de seguridad.

En cambio, trabajan dentro de las limitaciones que imponen estas protecciones, explotando momentos específicos en la secuencia de finalización del proceso.

Manipulación de la Lista de Procesos y el Problema de la Finalización

Windows mantiene todos los procesos en ejecución en una lista doblemente enlazada llamada ActiveProcessLinks, incrustada dentro de la estructura EPROCESS de cada proceso.

Esta estructura contiene punteros hacia delante y hacia atrás que encadenan todos los procesos activos. Para ocultar un proceso, los atacantes simplemente lo desvinculan de esta cadena: el Proceso Uno apunta directamente al Proceso Tres, omitiendo completamente el Proceso Dos.

El desafío crítico surge cuando el proceso oculto se termina. La función del kernel de Windows PspProcessDelete realiza una validación de integridad en estas estructuras LIST_ENTRY antes de la limpieza.

Esta validación confirma la consistencia bidireccional: el puntero hacia atrás del enlace hacia delante debe referenciar la entrada original del proceso, y el puntero hacia delante del enlace hacia atrás también debe hacerlo.

Si se detecta corrupción durante la finalización, el sistema activa un fallo KERNEL_SECURITY_CHECK_FAILURE 0x139, provocando una pantalla azul inmediata.

La solución implica la función de devolución de llamada documentada PsSetCreateProcessNotifyRoutineEx de Microsoft. Esta API permite a los controladores recibir notificaciones cuando los procesos se crean o terminan.

Al registrar una devolución de llamada de este tipo, los controladores maliciosos reciben la estructura EPROCESS en el momento de la finalización, pero antes de que se ejecute la validación de PspProcessDelete.

El controlador realiza entonces reparaciones dirigidas a la estructura LIST_ENTRY, restaurando la consistencia de los punteros hacia delante y hacia atrás justo microsegundos antes de que se ejecuten las comprobaciones de validación.

Aquí radica la elusión elegante: el proceso estuvo genuinamente oculto durante todo su tiempo de ejecución, invisible para cualquier herramienta de escaneo. Sin embargo, en el momento de la finalización, antes de que PspProcessDelete examine las estructuras, los enlaces se "desocultan" y se reparan.

Las comprobaciones de integridad no encuentran nada malo. El proceso se termina limpiamente. La ejecución del malware permanece oculta hasta el final.

Este enfoque funciona dentro de las protecciones de hardware reforzadas de HVCI porque el ataque se dirige a estructuras de datos escribibles, no a páginas de código protegidas.

Las tablas de páginas extendidas evitan la modificación del código del kernel en sí, pero los datos siguen siendo accesibles. La técnica requiere privilegios de ejecución a nivel de kernel y una firma de controlador válida, lo que representa la principal barrera práctica a la explotación.