20/03/2026
Una campaña activa desde hace más de un año ha puesto en evidencia un punto ciego que muchas organizaciones siguen subestimando: los procesos de negocio también son superficie de ataque. En este caso, los equipos de recursos humanos fueron el objetivo elegido, aprovechando su exposición constante a archivos externos y su acceso a información sensible.
Aryaka, una empresa tecnológica especializada en soluciones de redes y seguridad basadas en la nube, investigó este ataque que se construye sobre una cadena cuidadosamente diseñada: un CV falso alojado en plataformas legítimas, un archivo ISO que simula ser un documento y, tras su ejecución, un módulo especializado llamado BlackSanta que desactiva las soluciones EDR desde el nivel más profundo del sistema.
Utilizando técnicas como BYOVD (Bring Your Own Vulnerable Driver), los atacantes cargan drivers legítimos pero vulnerables para operar a nivel kernel, eliminando la visibilidad antes de continuar con el ataque.
No es que BlackSanta sea algo completamente nuevo. Pero sí deja una conclusión bastante clara: los procesos de negocio, como RRHH, ya no pueden quedar fuera del modelo de seguridad. Necesitan el mismo nivel de control, monitoreo y concientización de sus usuarios que cualquier sistema crítico. Desde lo técnico, la detección pasa por entender el comportamiento, validar qué se está ejecutando realmente y tener visibilidad incluso a nivel de drivers. Porque cuando un atacante opera en kernel usando componentes legítimos, las herramientas tradicionales dejan de ser suficientes.
https://www.aryaka.com/reports-and-guides/blacksanta-edr-killer-threat-report/
