Resumen: Ibai Castells presenta una cronología detallada de técnicas de evasión de EDR, desde inyección de procesos hasta evasiones basadas en IA, destacando la evolución de métodos como llamadas al sistema directas/indirectas, suplantación de pilas de llamadas y técnicas VEH, esencial para equipos rojos y profesionales de seguridad ofensiva en la carrera armamentista entre atacantes y defensores.

Praetorian Inc. ha hecho público Swarmer, una herramienta que permite a atacantes con bajos privilegios lograr persistencia en Windows de manera sigilosa, eludiendo la supervisión de los sistemas de Detección y Respuesta en Endpoints (EDR). Implementada operativamente desde febrero de 2025, Swarmer aprovecha los perfiles de usuario obligatorios y la poco conocida API del Registro Offline para modificar el hive NTUSER sin activar los hooks estándar del registro. 

El actor de amenazas cibernales conocido como Crypt4You ha aparecido recientemente en foros clandestinos y mercados de la dark web, promocionando una herramienta sofisticada llamada VOID KILLER. Este software malicioso opera como un eliminador de procesos de antivirus y respuesta de detección de puntos finales (EDR) a nivel de kernel, diseñado para evadir y neutralizar las defensas de seguridad.

Grupos de ransomware utilizan el servicio HeartCrypt para evadir la detección de EDR mediante la descarga de herramientas como AVKiller, empaquetadas y firmadas con certificados comprometidos, aprovechando una vulnerabilidad en la validación de controladores de Windows. Se ha detectado su uso en ataques de ransomware como Blacksuit, Medusa y RansomHub, evidenciando un posible intercambio de herramientas y conocimiento técnico entre estos grupos, lo que supone una amenaza creciente para la seguridad.

El equipo de la empresa de ciberseguridad S-RM descubrió el inusual método de ataque de Akira durante una respuesta a un incidente reciente en uno de sus clientes.

 Los investigadores de ESET han descubierto nuevas herramientas basadas en Rust que conducen al despliegue del ransomware Embargo, un actor relativamente nuevo, observado por primera vez por ESET en junio de 2024. El nuevo kit de herramientas consiste en un loader y un killer EDR, llamados MDeployer y MS4Killer respectivamente por ESET. MS4Killer es particularmente notable, ya que se compila a medida para el entorno de cada víctima, apuntando sólo a soluciones de seguridad seleccionadas. Ambas herramientas están escritas en Rust, el lenguaje elegido por el grupo Embargo para desarrollar su ransomware.

Incontables ordenadores, sistemas y redes de todo tipo basadas en ordenadores con Windows están experimentando graves pérdidas de servicio después de que una actualización fallida del proveedor de servicios de ciberseguridad CrowdStrike. Estos pantallazos azules se han dejado notar de forma inmediata en forma de cancelaciones de vuelos, fábricas paralizadas e incluso emisiones de televisión interrumpidas, sustituidas en algunos casos por reposiciones.

El antivirus es una herramienta útil en la prevención, detección y eliminación de procesos maliciosos dentro del sistema, teniendo como objetivos adicionales evitar la propagación de elementos malintencionados y la protección del sistema de almacenamiento. Una de estas opciones son los EDR (Endpoint Detection and Response), cuya finalidad es identificar, detectar y prevenir amenazas avanzadas (APT) proporcionando monitorización y análisis continuo del endpoint y de la red.

Los ataques avanzados actuales son cada vez más difíciles de detectar. Mediante técnicas que aisladamente parecen comportamientos rutinarios, un atacante puede acceder a su infraestructura y permanecer sin ser detectado durante meses, lo que aumenta significativamente el riesgo de una costosa vulneración de datos. Cuando ves que un antivirus no es suficiente para proteger a tu empresa de un ataque de ransomware es cuando un EDR se convierte en imprescindible.

 Los Centros de Operaciones de Seguridad (SOC) son un elemento esencial en un mundo hiperconectado y cada vez más expuesto a ataques globales capaces de paralizar la actividad empresarial. ¿Qué roles debe incorporar un SOC?.  Cada vez hay más corporaciones que deciden contar con un Centro de Operaciones de Seguridad (SOC, en sus siglas en inglés).