Los EDR killers ya no son una curiosidad reservada a los grupos APT. En este primer semestre de 2026, el CERT Santé francés documenta su uso como un paso preparatorio casi sistemático antes del despliegue de cargas maliciosas en los sistemas hospitalarios. ESET confirma la tendencia a nivel mundial con más de cien variantes observadas en ataques reales. Este cambio modifica profundamente la cadena de infección y obliga a repensar la protección de los terminales.
EDR killers: la neutralización de las defensas como requisito previo de infección
El esquema clásico de un ataque por ransomware o troyano suponía que la carga útil debía eludir el antivirus o el EDR. Ahora observamos una inversión de lógica: el atacante desactiva el EDR antes de desplegar cualquier cosa. La carga maliciosa ya no necesita ser sigilosa ya que opera en un puesto del que se ha eliminado la capa de detección.
Para profundizar : Tendencias de moda: consejos, trucos e inspiraciones para un estilo único diario
Las variantes de EDR killers explotan controladores de Windows firmados pero vulnerables (técnica conocida como Bring Your Own Vulnerable Driver). El binario malicioso carga un controlador legítimo, obtiene acceso al núcleo y termina los procesos del agente de seguridad. La operación toma unos segundos y solo genera un evento de carga de controlador en los registros del sistema.
Para los equipos SOC, la solución pasa por la vigilancia de cargas de controladores inusuales, el endurecimiento de la política de bloqueo de controladores vulnerables a través de la WDAC (Windows Defender Application Control) y el uso de agentes EDR con mecanismos de autoprotección en el núcleo. Publicamos regularmente en las noticias del sitio Viruslab análisis técnicos de estas variantes tan pronto como aparecen en condiciones reales.
Lectura complementaria : Descubre las últimas noticias y consejos de salud para cuidarte
Ransomware multivectorial: tres grupos, tres métodos industrializados
La triple extorsión (cifrado, exfiltración, amenaza de denegación de servicio) está documentada desde hace varios años. Lo que cambia en 2026 es la industrialización de las cadenas de ataque por grupos estructurados que combinan la explotación de vulnerabilidades zero-day, la compromisión de la cadena de suministro de software y el despliegue coordinado en varias filiales de una misma empresa.
Se distinguen tres perfiles operativos:
- Grupos que apuntan a editores de software empresarial para comprometer las actualizaciones y afectar a cientos de pymes en la parte inferior, sin interacción directa con cada víctima.
- Operadores que compran accesos iniciales en mercados especializados, y luego despliegan un ransomware en menos de veinticuatro horas, reduciendo la ventana de detección a casi nada.
- Afiliados que combinan phishing dirigido y EDR killer para penetrar redes de empresas del sector salud o industrial, donde la tolerancia a la interrupción del servicio es mínima.
El punto en común: cada grupo invierte en automatización. Las herramientas de lateralización, exfiltración y cifrado están empaquetadas, versionadas y distribuidas como productos de software internos.
IA ofensiva y deepfakes: el phishing cambia de escala
El uso de modelos de lenguaje por parte de los atacantes ya no se limita a la generación de correos electrónicos de phishing gramaticalmente correctos. El informe Check Point Research AI Security 2026 documenta el paso de la IA como asistente a la IA como operador activo en la cadena de ataque.
En la práctica, vemos surgir campañas donde un modelo genera dinámicamente el contenido del correo electrónico en función del perfil de LinkedIn del objetivo, adapta el idioma y el registro, y luego produce un archivo comprometido cuyo nombre y apariencia corresponden al sector de actividad de la empresa objetivo. La tasa de clic en estas campañas supera significativamente la de las campañas de phishing clásicas.
Los deepfakes de voz añaden una capa adicional. Casos documentados en empresas muestran llamadas telefónicas imitando la voz de un ejecutivo para validar una transferencia o autorizar la instalación de un software de mantenimiento remoto. La combinación de voz sintética y correo electrónico personalizado por IA hace que la detección humana sea muy difícil.
Las contramedidas técnicas incluyen la autenticación multifactor en las validaciones financieras, la verificación fuera de banda (llamada a un número conocido) y el despliegue de soluciones de detección de contenido generado por IA en las pasarelas de correo electrónico.
Amenaza cuántica y soberanía digital: preparar la criptografía post-cuántica
La amenaza cuántica sobre la ciberseguridad ya no es un tema teórico reservado a los laboratorios. Las agencias de seguridad recomiendan a las empresas comenzar ahora mismo el inventario de sus activos criptográficos y la migración hacia algoritmos post-cuánticos.
El riesgo concreto tiene un nombre: « harvest now, decrypt later ». Actores estatales están recolectando hoy flujos cifrados (datos de salud, secretos industriales, comunicaciones diplomáticas) apostando por la futura capacidad de una computadora cuántica para romper RSA o las curvas elípticas. Para las empresas que manejan datos con una larga vida útil, la ventana de migración se reduce.
Los estándares NIST post-cuánticos (ML-KEM, ML-DSA) están publicados. El desafío para los CIO es identificar las dependencias criptográficas en sus aplicaciones empresariales, sus VPN, sus certificados TLS y sus sistemas de firma electrónica. Una auditoría de cripto-agilidad permite mapear los puntos de fricción antes de planificar la transición.
Protección de pymes y teletrabajo: superficies de ataque siempre subestimadas
Las pymes siguen siendo los objetivos preferidos porque acumulan presupuestos de seguridad limitados y una superficie de ataque ampliada por el teletrabajo. Los dispositivos personales conectados a la red de la empresa a través de VPN constituyen un vector de entrada que las soluciones en la nube por sí solas no cubren.
Las medidas de protección que marcan la diferencia en este segmento:
- Segmentar la red para aislar los puestos en teletrabajo de los recursos críticos, incluso en una red plana de pequeño tamaño.
- Desplegar una solución EDR gestionada en lugar de un antivirus clásico, asegurándose de que integre una protección anti-tampering resistente a los EDR killers documentados.
- Formar a los colaboradores específicamente sobre las campañas de phishing generadas por IA, con ejercicios de simulación actualizados cada trimestre.
- Implementar una copia de seguridad fuera de línea probada regularmente, la única defensa fiable contra un ransomware que ha neutralizado el EDR.
La gestión de riesgos digitales para las pequeñas estructuras no pasa por la acumulación de herramientas, sino por la coherencia entre la política de seguridad y los usos reales de los colaboradores. Un cortafuegos mal configurado protege menos que un puesto correctamente endurecido con un EDR autoprotegido.