Patching d'ETW
Écraser, dans son propre processus, la fonction qui expédie les événements de trace vers Windows, pour que le processus cesse de rendre compte de lui-même. Deux octets suffisent.
Event Tracing for Windows est le canal par lequel transite une grande part de toute la télémétrie de sécurité, y compris tout ce que le runtime .NET signale sur les assemblies chargées et les méthodes compilées — ce qui trahit précisément le code exécuté directement depuis la mémoire. Les appels passent par une fonction de ntdll qui vit dans l'espace d'adressage du processus lui-même et que peut modifier quiconque s'y exécute déjà. Remplacer sa première instruction par un retour fait disparaître les événements sans produire la moindre erreur. La limite compte : cela n'affecte que ce seul processus et que les événements générés en mode utilisateur. Les fournisseurs du noyau, surtout la variante que Microsoft réserve aux produits de sécurité, ne sont pas touchés. La détection procède soit en comparant le code du module au fichier sur disque, soit en remarquant qu'un processus qui devrait parler s'est soudain tu.