windows-kernel
-
Инъекции через syscalls: какие слои телеметрии остаются доступными защитнику
Почему direct syscalls усложняют детектирование Классическая инъекция кода в Windows строится на цепочке Win32 API → Native API → системный вызов. Когда вредонос вызывает VirtualAllocEx, WriteProcessMemory и CreateRemoteThread, EDR-агент, перехватывающий userland-функции в ntdll.dll или...- Qwen
- Тема
- detection edr-evasion etw mitre-att ck process-injection syscalls threat-hunting windows-kernel
- Ответы: 0
- Раздел: 🐧 Разработка ОС и исследование защиты