ETW patching
Перезапись в собственном процессе функции, отправляющей в Windows события трассировки, чтобы процесс перестал докладывать о себе. Хватает двух байт.
Event Tracing for Windows — канал, по которому идёт большая часть телеметрии безопасности, включая всё, что среда .NET сообщает о загружаемых сборках и компилируемых методах, — а это как раз выдаёт код, запущенный прямо из памяти. Вызовы проходят через функцию в ntdll, которая живёт в адресном пространстве самого процесса и доступна для записи тому, кто уже в нём работает. Если заменить её первую инструкцию на возврат, события исчезают без единой ошибки. Ограничение существенно: затрагивается только этот процесс и только события, порождённые в пользовательском режиме. Поставщики уровня ядра, прежде всего вариант, который Microsoft зарезервировала для средств защиты, остаются нетронутыми. Обнаружить можно, сравнивая код модуля с файлом на диске или замечая, что процесс, которому положено говорить, внезапно замолчал.