C# administrado y deshabilitación de telemetría no deseada

Abre lenguajes_alternativos_endpoint.txt en la consola del laboratorio con el entorno rt-scripts-firmas-guia.

Cuando una aplicación administrada carga un ensamblado dinámico en memoria (mediante Assembly.Load), el CLR notifica este evento al proveedor de telemetría Microsoft-Windows-DotNETRuntime. Esto permite al EDR saber qué módulos se han instanciado en memoria incluso si nunca tocaron el disco.

Revisa el apartado 2 en lenguajes_alternativos_endpoint.txt.

El entorno de ejecución de .NET consulta una serie de variables de configuración durante su fase de inicialización. Al definir una variable específica antes de instanciar el proceso, el runtime inhabilita la emisión de trazas hacia el subsistema de rastreo de Windows.

A partir de .NET Framework 4.8 y en las versiones modernas de .NET Core / .NET 6+, Microsoft incorporó la invocación automática de AMSI para inspeccionar cualquier ensamblado cargado mediante Assembly.Load(byte[]).

Esto significa que cargar binarios en C# directamente desde memoria ya no es invisible por defecto: si el binario coincide con una firma conocida, el motor antimalware interrumpe la carga antes de ejecutarla.