Están aprovechando las exclusiones de Microsoft Defender Antivirus para evitar que los archivos maliciosos sean detectados en los análisis de seguridad rutinarios. En lugar de desactivar la protección por completo, los atacantes mantienen el antivirus activo pero crean brechas en carpetas específicas y tipos de archivos seleccionados. Esta técnica de evasión ya es conocida y requiere de privilegios de administrador o superiores para ser ejecutada.

Operadores de malware están ocultando código malicioso dentro de la sección del instalador de 7-Zip encargada de descomprimir archivos. Mientras se ejecuta una instalación aparentemente normal, un cargador oculto contacta con un servidor controlado por atacantes, un paso que suele pasar desapercibido para usuarios y analistas. Estas muestras están vinculadas a OpenSUpdater.

Un investigador de seguridad llamado Two Seven One Three ha revelado un nuevo método de inyección de procesos en Windows denominado console named-pipe injection. Esta técnica permite evadir la detección de los sistemas EDR al evitar el uso de las APIs VirtualAllocEx y WriteProcessMemory, comúnmente asociadas con la inyección de código remoto. En su lugar, el ataque envía el payload a través de la entrada estándar redireccionada de un proceso de consola hijo, reutilizando memoria que Windows ya ha asignado.

Un modelo de inteligencia artificial generativa, alojado localmente y sin censura, logró modificar una herramienta de extracción de credenciales de Windows para evadir dos productos de Detección y Respuesta de Endpoints (EDR) en un entorno de laboratorio. El experimento, realizado por el investigador Eddie Zhang de Project Black, se centró en el Local Security Authority Subsystem Service (LSASS), demostrando que la IA accesible puede acelerar significativamente el desarrollo de herramientas ofensivas personalizadas.

Los servicios criminales de crypters, diseñados para ocultar malware, son cada vez más accesibles. Estas herramientas modifican archivos maliciosos para que Windows Defender, SmartScreen y las herramientas EDR tengan dificultades para reconocerlos, permitiendo que los atacantes evadan los controles de seguridad habituales.

Furtex es un nuevo proyecto de código abierto diseñado como un kit de herramientas de investigación para la evasión y post-explotación en Linux, destinado a operadores de red-team e investigadores de seguridad autorizados. Este proyecto integra utilidades de evasión de EDR, herramientas BPF y eBPF, y llamadas al sistema io_uring, destacando que no depende de liburing ni de marcos de trabajo más extensos.

Los atacantes han descubierto una nueva técnica para ocultar sus actividades tras obtener acceso de administrador en Windows. Este método abusa de los vínculos de enlace (bind links), una función legítima que redirige una ruta de archivo a otra sin modificar el archivo original en el disco. De esta manera, en lugar de crear archivos visibles o modificar el software de seguridad, el atacante puede cegar los sistemas EDR y evadir herramientas como AMSI, AppLocker y Sysmon.

Se ha lanzado EDRChoker, una nueva herramienta de código abierto para equipos rojos (*red teams*). Esta herramienta introduce una técnica innovadora para silenciar los agentes de detección y respuesta de endpoints (EDR) conectados a la nube. En lugar de finalizar procesos o inyectar código, EDRChoker utiliza el motor nativo de Calidad de Servicio basada en Políticas (QoS) de Windows para reducir el ancho de banda de red de dichos agentes a niveles cercanos a cero, bloqueando así su comunicación.

Un nuevo grupo de ransomware llamado Payouts King ha estado ganando reputación desde su aparición en abril de 2025. Tras un periodo de baja actividad, a principios de 2026 se registró un aumento significativo de sus ataques, los cuales están vinculados a antiguos afiliados de la ya desaparecida operación BlackBasta. El grupo se especializa en atacar organizaciones mediante métodos establecidos y el uso de técnicas de ofuscación y llamadas directas al sistema para evadir los sistemas de detección y respuesta (EDR).

Un actor de amenazas está utilizando agentes de IA (como Claude Opus y Cursor) para automatizar la creación y prueba de malware y ransomware. Este flujo de trabajo permite desarrollar rápidamente herramientas para evadir sistemas de detección (EDR) y descubrir vulnerabilidades en Active Directory. Aunque la IA acelera el desarrollo y la implementación de técnicas de ataque, el proceso sigue siendo dirigido enteramente por humanos.

Varonis Threat Labs ha descubierto una nueva técnica de evasión llamada GhostTree. Este método aprovecha las uniones de NTFS para crear bucles de directorios recursivos, lo que provoca que los escáneres de EDR (Detección y Respuesta en Endpoints) queden atrapados en rutas infinitas. Como resultado, los sistemas de seguridad se bloquean y ignoran las cargas útiles maliciosas.

Resumen: Ibai Castells presenta una cronología detallada de técnicas de evasión de EDR, desde inyección de procesos hasta evasiones basadas en IA, destacando la evolución de métodos como llamadas al sistema directas/indirectas, suplantación de pilas de llamadas y técnicas VEH, esencial para equipos rojos y profesionales de seguridad ofensiva en la carrera armamentista entre atacantes y defensores.

NoDPI es una herramienta ligera en Python que bypassea sistemas de Deep Packet Inspection (DPI) modificando el ClientHello de conexiones TLS para engañar a los DPI y ocultar dominios visitados, sin dependencias externas. Funciona como un proxy HTTPS que fragmenta el handshake TLS y fuerza TLS 1.3, pero no cifra más allá de HTTPS ni oculta IPs contactadas. Es fácil de usar (configurando un proxy en localhost:8881) y ofrece opciones como fragmentación aleatoria o por SNI, pero tiene limitaciones: solo funciona con HTTPS, no evita bloqueos por IP y puede ser menos efectivo contra DPI avanzados. Alternativas como GoodbyeDPI o Green Tunnel podrían ser más robustas en algunos casos.