La oleada de pruebas de concepto filtradas en torno a Windows y Microsoft Defender ha pasado de ser un problema teórico a convertirse en un riesgo operativo real. En ataques recientes se han observado intrusiones que combinan acceso inicial y acciones manuales posteriores para aprovechar técnicas conocidas como BlueHammer, RedSun y UnDefend, con un objetivo común: ganar control local elevando privilegios y, de paso, debilitar las defensas del propio sistema.

El patrón descrito encaja con intrusiones ‘hands-on-keyboard‘, donde tras conseguir una primera entrada los atacantes empiezan a ejecutar pasos interactivos para afianzar el acceso. En uno de los escenarios observados, el punto de partida fue una cuenta de usuario de SSVPN comprometida, lo que subraya la importancia de vigilar credenciales expuestas, reutilizadas o robadas y de endurecer los accesos remotos con medidas como MFA, rotación y detección de comportamientos anómalos.

De las tres técnicas, BlueHammer destaca por contar ya con un identificador formal, CVE-2026-33825, y por haber sido corregida en las actualizaciones de seguridad de abril de 2026. Se trata de un vector de elevación de privilegios que permite avanzar hacia permisos de administrador o SYSTEM, un paso crítico porque abre la puerta a acciones de alto impacto: manipular servicios, desactivar controles, persistir en el equipo o preparar movimiento lateral dentro del entorno. Además, se indica que su explotación se habría visto al menos desde el 10 de abril de 2026, por lo que no se trata de una amenaza hipotética para ‘algún día’, sino de una ventana de exposición ya en curso.

RedSun, por su parte, se describe como una elevación de privilegios local relacionada con el comportamiento de Microsoft Defender al manejar archivos detectados como maliciosos con una etiqueta de nube. El abuso se apoya en la posibilidad de forzar una reescritura hacia su ubicación original, lo que, en manos de un atacante, puede derivar en sobrescritura de archivos del sistema y culminar en ejecución con privilegios SYSTEM. El alcance es especialmente delicado porque afecta a Windows 10, Windows 11 y Windows Server 2019 y posteriores siempre que Windows Defender esté habilitado, es decir, una base instalada enorme.

La tercera técnica, UnDefend, apunta a una táctica más silenciosa pero igual de peligrosa: permitir que un usuario estándar consiga bloquear las actualizaciones de definiciones de Microsoft Defender. Si el motor antimalware deja de recibir firmas y mejoras, la detección se degrada de forma progresiva, lo que favorece la permanencia y reduce las probabilidades de que se identifique malware nuevo o variantes adaptadas.

A nivel defensivo, la prioridad inmediata pasa por aplicar el parche de abril de 2026 para CVE-2026-33825 y acelerar el ciclo de actualización allí donde haya retardos. En paralelo, conviene intensificar la caza de indicios en endpoints: cadenas de ejecución inusuales que terminen en SYSTEM, eventos compatibles con sobrescritura o cambios inesperados en archivos críticos, y señales de fallos repetidos o bloqueos anómalos al actualizar definiciones de Defender, que podrían encajar con UnDefend. Por último, reforzar el perímetro de acceso remoto –especialmente SSVPN— ayuda a cortar la fase inicial que permite que estas técnicas locales se conviertan en un incidente mayor.

Más información

• BleepingComputer – Recently leaked Windows zero-days now exploited in attacks : https://www.bleepingcomputer.com/news/security/recently-leaked-windows-zero-days-now-exploited-in-attacks/
• CVE: https://www.cve.org/CVERecord?id=CVE-2026-33825