Llamadas al sistema directas y detección por call stack

Abre syscalls_y_callstack.txt en la consola del laboratorio con el entorno rt-inyeccion-edr-guia.

Para evitar que las funciones hookeadas por el sensor del EDR en ntdll.dll intercepten parámetros, el cargador ofensivo puede incluir directamente en su código ensamblador el número de llamada al sistema (SSN) e invocar la instrucción de transición al kernel.

Revisa el apartado 1 en syscalls_y_callstack.txt.

Cuando la instrucción de llamada al sistema se ejecuta y el procesador pasa al kernel, los sensores analizan el registro del puntero de instrucciones y la pila para verificar desde qué dirección de memoria exacta se originó la llamada.

Si la llamada directa provino de memoria anónima fuera de ntdll.dll, el EDR emite una alerta por pila de llamadas sintética o anómala.

Para resolver este desafío, los operadores avanzados emplean llamadas indirectas: configuran los registros en memoria y realizan un salto hacia la instrucción legítima que ya existe dentro del módulo oficial de ntdll.dll, garantizando que la dirección de retorno apunte a una librería firmada por Microsoft.