{"id":11034,"date":"2025-10-01T12:57:55","date_gmt":"2025-10-01T18:57:55","guid":{"rendered":"https:\/\/beaconlab.us\/?p=11034"},"modified":"2025-10-01T12:59:24","modified_gmt":"2025-10-01T18:59:24","slug":"edr-freeze-la-nueva-tecnica-que-congela-tus-ciber-defensas","status":"publish","type":"post","link":"https:\/\/beaconlab.us\/es\/edr-freeze-la-nueva-tecnica-que-congela-tus-ciber-defensas\/","title":{"rendered":"EDR-Freeze: la nueva t\u00e9cnica que congela tus ciber defensas"},"content":{"rendered":"\n<p>Una reciente prueba de concepto llamada <strong>EDR-Freeze<\/strong> demuestra c\u00f3mo un atacante puede poner en \u201ccoma\u201d a los procesos de EDR o antivirus usando componentes leg\u00edtimos de Windows, sin necesidad de drivers vulnerables ni elevaci\u00f3n al modo kernel. El resultado: las defensas quedan aparentemente activas, pero sin funcionar, permitiendo al atacante actuar sin detecci\u00f3n. Este bolet\u00edn describe c\u00f3mo funciona la t\u00e9cnica, qu\u00e9 pruebas se han hecho, qu\u00e9 se\u00f1ales buscar y c\u00f3mo defenderse contra ella.<\/p>\n\n\n\n<p><strong>C\u00f3mo funciona:<\/strong><\/p>\n\n\n\n<p>Windows ofrece un mecanismo para crear volcados (snapshots) de un proceso para diagn\u00f3stico cuando algo falla. Durante ese proceso, Windows pausa temporalmente los hilos del programa para capturar el estado de forma consistente. EDR-Freeze aprovecha esa pausa: lanza el proceso de volcado sobre el EDR\/antivirus y, en el instante en que el proceso objetivo queda suspendido, detiene tambi\u00e9n al proceso que est\u00e1 gestionando el volcado. El resultado: el EDR queda suspendido y no se reanuda.<\/p>\n\n\n\n<p>Para lograrlo usa componentes leg\u00edtimos del sistema (el servicio de reporte de errores de Windows), por eso la t\u00e9cnica no requiere explotar fallos del kernel ni instalar drivers maliciosos. (En t\u00e9rminos t\u00e9cnicos: el PoC usa la ruta de volcado de Windows y despu\u00e9s realiza una suspensi\u00f3n del proceso que hizo el volcado, dejando al proceso objetivo \u201ccongelado\u201d.)<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img fetchpriority=\"high\" decoding=\"async\" width=\"800\" height=\"450\" src=\"https:\/\/beaconlab.us\/wp-content\/uploads\/2025\/10\/image-1.png\" alt=\"\" class=\"wp-image-11037\" srcset=\"https:\/\/beaconlab.us\/wp-content\/uploads\/2025\/10\/image-1.png 800w, https:\/\/beaconlab.us\/wp-content\/uploads\/2025\/10\/image-1-300x169.png 300w, https:\/\/beaconlab.us\/wp-content\/uploads\/2025\/10\/image-1-768x432.png 768w\" sizes=\"(max-width: 800px) 100vw, 800px\" \/><\/figure>\n\n\n\n<p><strong>Qu\u00e9 se ha probado y qu\u00e9 resultados se vieron:<\/strong><\/p>\n\n\n\n<p>En laboratorios se consigui\u00f3 dejar en suspensi\u00f3n procesos como el de Microsoft Defender (MsMpEng.exe) en Windows 11. El proceso segu\u00eda visible en el sistema pero no ejecutaba trabajo ni detectaba actividad. Las herramientas de supervisi\u00f3n muestran el proceso \u201cparado\u201d \u2014no hay CPU, no hay hilos activos\u2014 aunque el proceso no haya desaparecido. El PoC fue publicado para investigaci\u00f3n y pruebas defensivas, por lo que los equipos de respuesta ya pueden reproducirlo en entornos controlados.<\/p>\n\n\n\n<p><strong>Limitaciones importantes<\/strong><\/p>\n\n\n\n<p>La t\u00e9cnica depende de detener exactamente el proceso gestor del volcado en el momento justo; si la sincronizaci\u00f3n falla, el EDR se reanuda y el intento fracasa. No explota vulnerabilidades, sino que es un abuso de funcionalidades leg\u00edtimas del sistema, por eso los bloqueos por firmas no son una protecci\u00f3n fiable. Algunos entornos limitan c\u00f3mo se invoca el volcado o tienen controles que impiden este flujo; adem\u00e1s, ciertos mecanismos de supervisi\u00f3n interna (watchdogs) pueden detectar y recobrar procesos suspendidos. Fabricantes como Microsoft han indicado que sus productos no se ven afectados en cliente final, y que intentos de abuso deber\u00edan poder bloquearse; sin embargo no todos los detalles son p\u00fablicos.<\/p>\n\n\n\n<p><strong>Se\u00f1ales pr\u00e1cticas para detectar un intento<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Ejecuciones inusuales del servicio de reporte de errores de Windows (WerFaultSecure.exe) o procesos de volcado apuntando a procesos de seguridad.<\/li>\n\n\n\n<li>Registros de acceso que muestren intentos de suspender\/resumir procesos cr\u00edticos. (Sysmon o telemetr\u00eda EDR pueden registrar este acceso.)<\/li>\n\n\n\n<li>Procesos de seguridad en estado \u201csuspendido\u201d sin una raz\u00f3n aparente.<\/li>\n\n\n\n<li>Creaci\u00f3n\/eliminci\u00f3n r\u00e1pida de archivos temporales asociados a volcados.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Mitigaci\u00f3n y soluci\u00f3n:<\/h2>\n\n\n\n<p>Con base en los an\u00e1lisis disponibles, estas son algunas estrategias sugeridas para mitigar el riesgo de EDR-Freeze:<\/p>\n\n\n\n<ol start=\"1\" class=\"wp-block-list\">\n<li><strong>Monitorear ejecuci\u00f3n de WerFaultSecure.exe<\/strong> con atenci\u00f3n especial a los par\u00e1metros: cualquier invocaci\u00f3n con \/pid apuntando a procesos de seguridad deben considerarse sospechosas.<\/li>\n\n\n\n<li><strong>Restringir permisos al componente WER<\/strong> (Windows Error Reporting), por ejemplo limitando qui\u00e9n puede invocarlo y con qu\u00e9 par\u00e1metros, especialmente en hosts cr\u00edticos.<\/li>\n\n\n\n<li><strong>Correlaci\u00f3n de eventos de acceso a suspensi\u00f3n de procesos<\/strong> (PROCESS_SUSPEND_RESUME) sobre procesos de seguridad, con alertas si no es leg\u00edtimo.<\/li>\n\n\n\n<li><strong>Protecci\u00f3n de integridad de procesos (whitelisting \/ bloqueo de cambio de estado)<\/strong> para procesos de seguridad, de forma que no puedan ser suspendidos por procesos no autorizados.<\/li>\n\n\n\n<li><strong>Instrumentaci\u00f3n de telemetr\u00eda avanzada<\/strong>: registrar con detalle las operaciones de suspensi\u00f3n, volcado y reactivaci\u00f3n de procesos, y tener alertas cerca del \u201cumbral de abuso\u201d.<\/li>\n\n\n\n<li><strong>Actualizaciones del sistema \/ parches<\/strong>: aunque esta t\u00e9cnica no depende de una vulnerabilidad tradicional, futuras versiones de Windows podr\u00edan reforzar WerFaultSecure o las APIs de dumpeo para prevenir abusos.<\/li>\n\n\n\n<li><strong>Defensas de enga\u00f1o \/ honeypots internos<\/strong>: enga\u00f1ar al atacante para que ejecute EDR-Freeze sobre un proceso trampa y detectar su actividad.<\/li>\n\n\n\n<li><strong>Pruebas de adversario interno \/ red teaming<\/strong>: usar EDR-Freeze como prueba (en entornos controlados) para evaluar si la infraestructura defensiva puede detectar y responder.<\/li>\n<\/ol>\n\n\n\n<h2 class=\"wp-block-heading\">Informaci\u00f3n adicional:<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/new-edr-freeze-tool-uses-windows-wer-to-suspend-security-software\/\">https:\/\/www.bleepingcomputer.com\/news\/security\/new-edr-freeze-tool-uses-windows-wer-to-suspend-security-software\/<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/cyberpress.org\/edr-freeze-tool-disables\/\">https:\/\/cyberpress.org\/edr-freeze-tool-disables\/<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/binarydefense.com\/resources\/blog\/dont-freeze-me-out-bro-arc-labs-technical-analysis-of-edr-freeze\">https:\/\/binarydefense.com\/resources\/blog\/dont-freeze-me-out-bro-arc-labs-technical-analysis-of-edr-freeze<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.morphisec.com\/blog\/edr-freeze-attack-freezes-security-tool\/\">https:\/\/www.morphisec.com\/blog\/edr-freeze-attack-freezes-security-tool\/<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Una reciente prueba de concepto llamada EDR-Freeze demuestra c\u00f3mo un atacante puede poner en \u201ccoma\u201d a los procesos de EDR o antivirus usando componentes leg\u00edtimos de Windows, sin necesidad de drivers vulnerables ni elevaci\u00f3n al modo kernel. El resultado: las defensas quedan aparentemente activas, pero sin funcionar, permitiendo al atacante actuar sin detecci\u00f3n. Este bolet\u00edn [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":11039,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[48],"tags":[],"class_list":["post-11034","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/posts\/11034","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/comments?post=11034"}],"version-history":[{"count":3,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/posts\/11034\/revisions"}],"predecessor-version":[{"id":11043,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/posts\/11034\/revisions\/11043"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/media\/11039"}],"wp:attachment":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/media?parent=11034"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/categories?post=11034"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/tags?post=11034"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}