Злоумышленники могут подменять уведомления средств защиты, предоставляя ложные данные о состоянии системы и таким образом скрывая свою вредоносную деятельность от специалистов по безопасности. Сообщения, генерируемые средствами безопасности, содержат информацию о потенциальных угрозах, а также о состоянии защитного программного обеспечения и системы. Предупреждения средств безопасности важны для мониторинга работы системы и выявления важных событий, которые могут указывать на инциденты безопасности.

Вместо блокировки сбора признаков активности или в дополнение к ней злоумышленник может подделывать подтверждения того, что легитимные средства безопасности продолжают работать, даже после их отключения (см. технику Отключение или перенастройка средств защиты). Злоумышленник также может создавать видимость нормального состояния системы даже после заражения. Это может замедлить реагирование на вторжение и предоставить злоумышленникам больше времени для дальнейшей вредоносной активности.

Злоумышленники могут вывести поддельный графический интерфейс безопасности Windows и значок на панели задач, показывающий нормальное состояние системы, после отключения Защитника Windows и других системных средств.