Detección de parches en memoria mediante integridad de código

Abre ciclo_amsi_y_parcheo.txt en la consola del laboratorio con el entorno rt-amsi-memoria-guia.

Bajo las políticas de seguridad de la arquitectura moderna de Windows, el código en memoria debe ser inmutable: las páginas ejecutables nunca deben poder ser escritas, y las páginas en las que se puede escribir nunca deben poder ejecutarse (política W^X / DEP).

Revisa el segundo guion bajo telemetría de manipulación en ciclo_amsi_y_parcheo.txt.

Para consumar una alteración en caliente sobre una biblioteca de enlace dinámico cargada, el proceso debe solicitar una transición explícita de sus derechos de acceso sobre esa página de memoria concreta.

Microsoft introdujo la mitigación Arbitrary Code Guard (ACG) para frenar en seco los parches en memoria y la generación de shellcode.

Cuando una aplicación tiene ACG habilitado, el kernel de Windows rechaza de forma tajante cualquier llamada a funciones del sistema que intenten asignar nueva memoria ejecutable o transformar una página existente de solo lectura en una región modificable.