Alternativas de ejecución sin inyección remota

Abre inyeccion_local_sin_hilos.txt en la consola del laboratorio con el entorno rt-inyeccion-edr-guia.

Si el cargador no necesita esconderse dentro de otro proceso preexistente, puede ejecutar su carga directamente en su propio espacio de memoria virtual. Esta decisión táctica elimina de raíz las llamadas a OpenProcess y CreateRemoteThread sobre otros identificadores de proceso.

Revisa las alternativas de bajo perfil en inyeccion_local_sin_hilos.txt.

Para los escenarios donde resulta indispensable habitar dentro de un proceso hijo legítimo, existe una técnica que crea el proceso en modo suspendido y programa la carga en la cola de llamadas a procedimientos asíncronos (APC) del hilo principal antes de que los sensores del EDR se carguen en memoria.

Otra alternativa para prescindir de la creación de hilos consiste en utilizar funciones de la API de Windows que aceptan punteros a funciones de usuario (Callbacks), como EnumChildWindows o CreateThreadPoolWork.

Al pasar la dirección de la carga útil como puntero de función de retorno a una API legítima del sistema, es la propia función de Windows la que ejecuta el código durante su operativa habitual, enmascarando el origen del flujo de instrucciones.