Arquitectura de hooks en modo usuario y ntdll.dll

Abre arquitectura_edr_hooks.txt en la consola del laboratorio con el entorno rt-telemetria-edr-guia.

Cuando una aplicación estándar requiere asignar memoria ejecutable o abrir un manejador hacia otro proceso, invoca funciones de alto nivel en kernel32.dll o KernelBase.dll. Estas a su vez llaman a funciones no documentadas exportadas por la biblioteca nativa del sistema.

Revisa el apartado 1 en arquitectura_edr_hooks.txt.

Para conseguir que la ejecución pase obligatoriamente por el motor de análisis defensivo, el sensor del EDR parchea en memoria los primeros bytes de funciones nativas como NtAllocateVirtualMemory, sustituyendo el código original por una instrucción de desvío incondicional en lenguaje ensamblador.

Cuando el sensor intercepta la ejecución mediante el hook, no solo revisa los parámetros directos pasados a la función (como el tamaño de memoria solicitado o los permisos asignados).

También analiza la pila de llamadas hacia atrás (Call Stack Unwinding). Si la llamada a una función sensible no proviene de módulos legítimos cargados en disco, sino de una región de memoria anónima y dinámica (código shellcode no respaldado por archivo), el EDR la clasifica inmediatamente como hostil.