etw

Windows Defender (Microsoft Defender Antivirus) остаётся базовым слоем защиты на большинстве корпоративных рабочих станций. Атакующие активно развивают техники обхода его детекта, но каждая такая техника оставляет наблюдаемые артефакты. Эта статья разбирает основные категории обхода с позиции...

Процесс в Windows — это не просто запущенный исполняемый файл, а сложный объект ядра с собственным виртуальным адресным пространством, таблицей дескрипторов, счётчиком ссылок и набором пользовательских структур, через которые runtime взаимодействует с подсистемами ОС. Для исследователя защиты...

Вредоносный код, который никогда не касается диска, всё равно вынужден взаимодействовать с механизмами операционной системы. Windows управляет памятью через строго определённые структуры данных, и любое выделение, изменение прав или создание потока фиксируется ядром. Именно эти следы и...