ETW-patchning
Att skriva över den funktion i den egna processen som skickar spårningshändelser till Windows, så att processen slutar rapportera om sig själv. Två byte räcker.
Event Tracing for Windows är den kanal en stor del av all säkerhetstelemetri går genom, bland annat allt .NET-runtime rapporterar om vilka sammansättningar som laddas och vilka metoder som kompileras — vilket är precis det som avslöjar kod som körs direkt ur minnet. Anropen går via en funktion i ntdll som ligger i processens eget adressrum och är skrivbar för den som redan kör där. Genom att ersätta dess första instruktion med en retur försvinner händelserna utan att något fel uppstår. Begränsningen är viktig: det gäller bara den egna processen och bara händelser som genereras i användarläge. Kernelleverantörer, framför allt den variant Microsoft reserverat för säkerhetsprodukter, påverkas inte. Detektion sker antingen genom att jämföra modulens kod mot filen på disk eller genom att notera att en process som borde prata plötsligt tystnat.