ETW

cover

如何利用COMPlus_ETWEnabled隐藏.NET行为

COMPlus_ETWEnabled

希望这篇文章能给大家提供关于该选项的一些启发，从本质上来讲，我们可以通过该选项让CLR跳过.NET ETW provider的注册过程，从而隐蔽相关事件。

興趣使然的小胃
2020-06-08 10:30:05

292258次阅读

cover

两种最新Bypass ETW的方法

2020年4月7日，Dylan在其twitter上发布了一种绕过Sysmon和ETW的通用方法，我们对其进行了跟踪研究。

tahf
2020-04-14 15:30:09

653285次阅读

cover

如何隐藏恶意.NET行为：ETW检测原理及规避技术

在第1篇文章中，我们将重点讨论ETW（Event Tracing for Windows），以及如何利用ETW获取非托管进程中执行的.NET Assembly。

興趣使然的小胃
2020-03-19 16:00:19

822455次阅读