Se ha lanzado EDRChoker, una nueva herramienta de código abierto para equipos rojos (*red teams*). Esta herramienta introduce una técnica innovadora para silenciar los agentes de detección y respuesta de endpoints (EDR) conectados a la nube. En lugar de finalizar procesos o inyectar código, EDRChoker utiliza el motor nativo de Calidad de Servicio basada en Políticas (QoS) de Windows para reducir el ancho de banda de red de dichos agentes a niveles cercanos a cero, bloqueando así su comunicación.

Un nuevo grupo de ransomware llamado Payouts King ha estado ganando reputación desde su aparición en abril de 2025. Tras un periodo de baja actividad, a principios de 2026 se registró un aumento significativo de sus ataques, los cuales están vinculados a antiguos afiliados de la ya desaparecida operación BlackBasta. El grupo se especializa en atacar organizaciones mediante métodos establecidos y el uso de técnicas de ofuscación y llamadas directas al sistema para evadir los sistemas de detección y respuesta (EDR).

Un actor de amenazas está utilizando agentes de IA (como Claude Opus y Cursor) para automatizar la creación y prueba de malware y ransomware. Este flujo de trabajo permite desarrollar rápidamente herramientas para evadir sistemas de detección (EDR) y descubrir vulnerabilidades en Active Directory. Aunque la IA acelera el desarrollo y la implementación de técnicas de ataque, el proceso sigue siendo dirigido enteramente por humanos.

Varonis Threat Labs ha descubierto una nueva técnica de evasión llamada GhostTree. Este método aprovecha las uniones de NTFS para crear bucles de directorios recursivos, lo que provoca que los escáneres de EDR (Detección y Respuesta en Endpoints) queden atrapados en rutas infinitas. Como resultado, los sistemas de seguridad se bloquean y ignoran las cargas útiles maliciosas.

Resumen: Ibai Castells presenta una cronología detallada de técnicas de evasión de EDR, desde inyección de procesos hasta evasiones basadas en IA, destacando la evolución de métodos como llamadas al sistema directas/indirectas, suplantación de pilas de llamadas y técnicas VEH, esencial para equipos rojos y profesionales de seguridad ofensiva en la carrera armamentista entre atacantes y defensores.

NoDPI es una herramienta ligera en Python que bypassea sistemas de Deep Packet Inspection (DPI) modificando el ClientHello de conexiones TLS para engañar a los DPI y ocultar dominios visitados, sin dependencias externas. Funciona como un proxy HTTPS que fragmenta el handshake TLS y fuerza TLS 1.3, pero no cifra más allá de HTTPS ni oculta IPs contactadas. Es fácil de usar (configurando un proxy en localhost:8881) y ofrece opciones como fragmentación aleatoria o por SNI, pero tiene limitaciones: solo funciona con HTTPS, no evita bloqueos por IP y puede ser menos efectivo contra DPI avanzados. Alternativas como GoodbyeDPI o Green Tunnel podrían ser más robustas en algunos casos.