Check Point Research descubrió una técnica que utiliza el controlador legítimo BTR.sys de Microsoft Defender para realizar operaciones a nivel de kernel en Windows 7 hasta Windows 11. Al aprovechar un protocolo de cifrado fijo, un atacante con privilegios de administrador puede eliminar archivos protegidos y desactivar el propio Defender. Microsoft no planea lanzar un parche ya que considera que el método requiere permisos administrativos previos.

Una nueva campaña de malware para Windows está ocultando código malicioso dentro de palabras comunes en inglés para evitar ser detectada durante los análisis. Esta técnica se utiliza para distribuir Amatera Stealer, un programa diseñado para robar datos sensibles. La operación se apoya en ClearFake, una infraestructura que compromete sitios web legítimos para propagar la amenaza.

Microsoft optimiza Windows 11 para mejorar su rendimiento en PCs con 8 GB de RAM, aunque 16 GB seguirán siendo el requisito recomendado.

Microsoft ha lanzado una nueva versión del WinRE para Windows 11 (compilación 26220.9202) en el canal Insider para mejorar el entorno de recuperación del sistema.

Se ha documentado una nueva puerta trasera (backdoor) para Windows que destaca por su tamaño extremadamente reducido, con solo 12 KB. El implante fue hallado en una estación de trabajo corporativa, donde se hacía pasar por software de audio de Realtek para pasar desapercibido y reducir su visibilidad ante los sistemas de detección.

Microsoft está trabajando en un parche para "ShieldBreak" (CVE-2026-69414), una vulnerabilidad de día cero en Microsoft Defender que permite a atacantes locales obtener privilegios de sistema. El fallo fue revelado por el investigador "Nightmare Eclipse" como un bypass a una corrección anterior, afectando a Windows 10, 11 y Windows Server. La divulgación ocurre en medio de una disputa entre el investigador y Microsoft sobre sus prácticas de recompensas por errores.

Microsoft actualiza Defender en las imágenes ISO de Windows 11, 10 y Server para reforzar la protección contra las últimas amenazas.

Se ha descubierto un nuevo ataque denominado “Download More RAM” que permite evadir la Seguridad Basada en Virtualización (VBS) de Windows, debilitar la Integridad de Código Forzada por Hipervisor (HVCI) y desactivar Microsoft Defender. Este fallo, identificado como CVE-2026-23670, aprovecha datos mal protegidos del Serial Presence Detect (SPD) en ciertos módulos de memoria DDR4 y DDR5. Microsoft ya ha lanzado mitigaciones en su actualización de seguridad de abril de 2026.

El grupo HoneyMyte desplegó una versión actualizada del backdoor CoolClient que incluye un rootkit de kernel firmado para ocultar procesos, archivos y comunicaciones C2. Según Kaspersky, este malware ha afectado a entidades gubernamentales en Myanmar, Mongolia, Pakistán y Rusia, siendo instalado generalmente después de una infección por PlugX. El rootkit utiliza un controlador llamado msagent.sys para evadir la detección y proteger los componentes maliciosos contra el análisis o la eliminación.

Dave W. Plummer, creador del administrador de tareas original de Windows, lanza Task Manager OG, una alternativa ligera para gestionar el sistema y la opción AppControl para Windows 11.

VLC reporta que Windows 11 provoca que el reproductor tarde hasta 33 segundos en abrir un MP3, sospechando de Microsoft Defender y fallos en la caché.

Ventoy surge como alternativa a Rufus y Etcher, permitiendo crear pendrives multisistemas para arrancar Windows 11 o Linux sin necesidad de formatear la memoria constantemente.

Investigadores revelaron los ataques "Plug and Pwn", que utilizan dispositivos USB falsos para explotar la función Plug and Play de Windows y obtener privilegios de sistema para instalar malware sin interacción del usuario.

El grupo Lazarus de Corea del Norte utiliza ofertas de empleo falsas en LinkedIn para atacar empresas de defensa y aeroespaciales en varios países. Emplean un fallo de seguridad zero-day en Windows y visores de PDF maliciosos para instalar puertas traseras y robar datos sensibles. La campaña destaca por su sofisticación al suplantar identidades corporativas y usar infraestructura legítima comprometida para evadir la detección.

Microsoft ha lanzado un parche de emergencia para corregir un fallo de alta gravedad en Windows 10 y 11 que permite a atacantes tomar el control del equipo, por lo que es indispensable actualizar el sistema de inmediato.

El ransomware Akira ha implementado una nueva táctica para vulnerar la seguridad de Windows: reiniciar los sistemas comprometidos en modo seguro con funciones de red. Este método permite que el dispositivo permanezca conectado mientras la mayoría de las protecciones de terceros (EDR) permanecen desactivadas. En el caso analizado, el ataque se inició mediante una técnica de credential-spraying dirigida a una VPN SSL de SonicWall expuesta.

WinGet es el gestor de paquetes de Microsoft para instalar aplicaciones en Windows 11 de forma más potente y flexible que los métodos tradicionales.

Los usuarios de Windows que buscan una herramienta de limpieza conocida están siendo redirigidos a una página de descarga falsa muy convincente. El archivo descargado instala GhostDesk, una extensión maliciosa de Chrome diseñada para espiar la actividad del navegador. Esta campaña transforma una descarga rutinaria de software en un método para el robo de credenciales, captura de pulsaciones de teclado, toma de capturas de pantalla, recolección de cookies y ejecución de comandos remotos.

El grupo Lazarus de Corea del Norte ha sido detectado explotando una vulnerabilidad 0-day del kernel de Windows (identificada como CVE-2026-68820) para desplegar una versión mejorada de su rootkit FudModule. El fallo se encuentra en AFD.sys, el controlador de funciones auxiliares que gestiona los sockets de red en el kernel de Windows, y ya ha sido parcheado por Microsoft.

El investigador Chaotic Eclipse reveló ShieldBreak, un exploit que anula el parche de Microsoft para la vulnerabilidad RoguePlanet en Microsoft Defender. Este fallo permite a los atacantes obtener privilegios de sistema y ejecutar código arbitrario en Windows 11 y Windows Server. Además, Microsoft lanzó correcciones para otros cientos de fallos de seguridad, incluyendo vulnerabilidades de escalada de privilegios.