Anthropic ha lanzado una integración beta que permite a las empresas ejecutar sensores de detección y respuesta de endpoints (EDR) dentro de la máquina virtual local de Claude Cowork. Esta función soluciona un problema de visibilidad, ya que el software de seguridad convencional no podía monitorear los comandos de shell y el código ejecutado dentro del entorno aislado de la IA. Ahora, los equipos pueden supervisar dicha actividad a través de sus herramientas de seguridad ya existentes.

Un investigador de seguridad llamado Two Seven One Three ha revelado un nuevo método de inyección de procesos en Windows denominado console named-pipe injection. Esta técnica permite evadir la detección de los sistemas EDR al evitar el uso de las APIs VirtualAllocEx y WriteProcessMemory, comúnmente asociadas con la inyección de código remoto. En su lugar, el ataque envía el payload a través de la entrada estándar redireccionada de un proceso de consola hijo, reutilizando memoria que Windows ya ha asignado.

InjectSetConsole es una técnica de inyección de código que evita el uso de VirtualAllocEx y WriteProcessMemory, logrando que el proceso objetivo almacene los datos en su propia memoria mediante stdin y pipes, para luego ejecutarlos vía thread hijacking.

Un modelo de inteligencia artificial generativa, alojado localmente y sin censura, logró modificar una herramienta de extracción de credenciales de Windows para evadir dos productos de Detección y Respuesta de Endpoints (EDR) en un entorno de laboratorio. El experimento, realizado por el investigador Eddie Zhang de Project Black, se centró en el Local Security Authority Subsystem Service (LSASS), demostrando que la IA accesible puede acelerar significativamente el desarrollo de herramientas ofensivas personalizadas.

La banda de ransomware-as-a-service (RaaS) Gentlemen ha utilizado un sofisticado framework llamado GentleKiller para desactivar sistemáticamente herramientas de seguridad de endpoints antes de desplegar su carga maliciosa. Según un informe de ESET publicado el 17 de junio de 2026, este grupo —uno de los más activos en el primer trimestre de ese año— proporciona a sus afiliados una suite centralizada mantenida por operadores para eliminar procesos de EDR y evadir la detección.

Un actor de amenazas está utilizando agentes de IA (como Claude Opus y Cursor) para automatizar la creación y prueba de malware y ransomware. Este flujo de trabajo permite desarrollar rápidamente herramientas para evadir sistemas de detección (EDR) y descubrir vulnerabilidades en Active Directory. Aunque la IA acelera el desarrollo y la implementación de técnicas de ataque, el proceso sigue siendo dirigido enteramente por humanos.

Varonis Threat Labs ha descubierto una nueva técnica de evasión llamada GhostTree. Este método aprovecha las uniones de NTFS para crear bucles de directorios recursivos, lo que provoca que los escáneres de EDR (Detección y Respuesta en Endpoints) queden atrapados en rutas infinitas. Como resultado, los sistemas de seguridad se bloquean y ignoran las cargas útiles maliciosas.

Los grupos de ciberamenazas Qilin y Warlock utilizan la técnica BYOVD para desactivar más de 300 herramientas EDR explotando vulnerabilidades en drivers a nivel kernel, combinando métodos como DLL sideloading y ataques a Microsoft SharePoint Server sin parchear.

El grupo de ransomware Qilin está desplegando una cadena de infección sofisticada y de múltiples etapas a través de una DLL maliciosa msimg32.dll que puede desactivar más de 300 controladores de detección y respuesta en endpoints (EDR) de prácticamente todos los principales proveedores de seguridad. A medida que las organizaciones dependen cada vez más de las soluciones EDR, que ofrecen una visibilidad conductual mucho mayor que los antivirus tradicionales, los actores de amenazas han adaptado sus tácticas desarrollando asesinos de EDR 

Un hallazgo de investigación recientemente revelado ha demostrado que la función Live Terminal de Cortex XDR de Palo Alto Networks puede ser convertida en un canal de comando y control (C2) por parte de los atacantes. Dado que esta función se ejecuta dentro de un agente de detección y respuesta en endpoints (EDR) de confianza, el tráfico que genera es ampliamente aceptado por las herramientas de seguridad empresariales, lo que convierte esto en un método silencioso

Resumen: Ibai Castells presenta una cronología detallada de técnicas de evasión de EDR, desde inyección de procesos hasta evasiones basadas en IA, destacando la evolución de métodos como llamadas al sistema directas/indirectas, suplantación de pilas de llamadas y técnicas VEH, esencial para equipos rojos y profesionales de seguridad ofensiva en la carrera armamentista entre atacantes y defensores.

El análisis de WindShock revela que las técnicas de evasión de EDR y antivirus entre 2020 y 2025 han evolucionado desde la ofuscación de malware hasta explotar debilidades en los propios sistemas de seguridad, destacando métodos como BYOI (abuso de instaladores legítimos), BYOVD (uso de drivers vulnerables firmados), DLL Hijacking/Side-Loading y el abuso de servicios del sistema (como Safe Mode), demostrando que los atacantes manipulan procesos confiables para neutralizar protecciones sin ser detectados, requiriendo mitigaciones integrales como monitorización de comportamiento y controles anti-manipulación.

Praetorian Inc. ha hecho público Swarmer, una herramienta que permite a atacantes con bajos privilegios lograr persistencia en Windows de manera sigilosa, eludiendo la supervisión de los sistemas de Detección y Respuesta en Endpoints (EDR). Implementada operativamente desde febrero de 2025, Swarmer aprovecha los perfiles de usuario obligatorios y la poco conocida API del Registro Offline para modificar el hive NTUSER sin activar los hooks estándar del registro. 

El actor de amenazas cibernales conocido como Crypt4You ha aparecido recientemente en foros clandestinos y mercados de la dark web, promocionando una herramienta sofisticada llamada VOID KILLER. Este software malicioso opera como un eliminador de procesos de antivirus y respuesta de detección de puntos finales (EDR) a nivel de kernel, diseñado para evadir y neutralizar las defensas de seguridad.

Grupos de ransomware utilizan el servicio HeartCrypt para evadir la detección de EDR mediante la descarga de herramientas como AVKiller, empaquetadas y firmadas con certificados comprometidos, aprovechando una vulnerabilidad en la validación de controladores de Windows. Se ha detectado su uso en ataques de ransomware como Blacksuit, Medusa y RansomHub, evidenciando un posible intercambio de herramientas y conocimiento técnico entre estos grupos, lo que supone una amenaza creciente para la seguridad.

El equipo de la empresa de ciberseguridad S-RM descubrió el inusual método de ataque de Akira durante una respuesta a un incidente reciente en uno de sus clientes.

 Los investigadores de ESET han descubierto nuevas herramientas basadas en Rust que conducen al despliegue del ransomware Embargo, un actor relativamente nuevo, observado por primera vez por ESET en junio de 2024. El nuevo kit de herramientas consiste en un loader y un killer EDR, llamados MDeployer y MS4Killer respectivamente por ESET. MS4Killer es particularmente notable, ya que se compila a medida para el entorno de cada víctima, apuntando sólo a soluciones de seguridad seleccionadas. Ambas herramientas están escritas en Rust, el lenguaje elegido por el grupo Embargo para desarrollar su ransomware.

Incontables ordenadores, sistemas y redes de todo tipo basadas en ordenadores con Windows están experimentando graves pérdidas de servicio después de que una actualización fallida del proveedor de servicios de ciberseguridad CrowdStrike. Estos pantallazos azules se han dejado notar de forma inmediata en forma de cancelaciones de vuelos, fábricas paralizadas e incluso emisiones de televisión interrumpidas, sustituidas en algunos casos por reposiciones.

El antivirus es una herramienta útil en la prevención, detección y eliminación de procesos maliciosos dentro del sistema, teniendo como objetivos adicionales evitar la propagación de elementos malintencionados y la protección del sistema de almacenamiento. Una de estas opciones son los EDR (Endpoint Detection and Response), cuya finalidad es identificar, detectar y prevenir amenazas avanzadas (APT) proporcionando monitorización y análisis continuo del endpoint y de la red.