Конечно все возможно и не только с WD.
лолбинс, хуки, сисколы?
Итак, как правильно это сделать
А что не палево? WinInet/сокеты?
octavian pe loader
он не умеет прятать пейлоад в памяти
2. не обязательно с диска, что бы не дергать лишний раз минифильтры можно из суспенд процесса, там вроде как чиста ntdll, не успевают ее похукать
вообще-то есть.
...Let’s check if NtCteateThreadEx was hooked this time. No it wasn’t! This is simply because the EDR’s DLL was not loaded when in suspended process, which produced a clean copy of ntdll without any hooks. ...чушь и ложь, чел походу в начале двухтысячных.. какие нах длл внедрять? АВ сейчас всё драйверами делает.
Ну на самом деле достаточно много аверов инжектят дллки и хукают функции, я согласен, что это такая себе "защита". Я делал специальную тулзу для анализа хуков, можно ее прогнать и посмотреть, что именно конкретный авер перехватывает: https://xss.pro/threads/43097/ - меня в то время позабавило, что, например, доктор веб вместо классического джампа на обработчик ставил mov eax, <номер> + джамп на один и тот же адрес, то есть у них был один универсальный обработчик хука, который разруливал обработку через константу в eax.
изначально вопрос был в чистой ntdll, иии.. она там есть! ETW вместе с внедрением длл использовать никто не мешает, и тоже снятие хуков к примеру детектить через ETW