Respuestas del EDR ante alteraciones en ntdll

Abre yara_en_memoria_y_ntdll.txt en la consola del laboratorio con el entorno rt-amsi-memoria-guia.

Para eludir los ganchos que el EDR colocó en las funciones de la librería nativa, una técnica clásica consiste en leer el archivo ntdll.dll directamente desde el sistema de archivos o mapear una segunda copia para sobreescribir la sección de código alterada con los bytes originales limpios.

Revisa el apartado 2 en yara_en_memoria_y_ntdll.txt.

Los desarrolladores de soluciones EDR anticiparon esta maniobra: sus agentes ejecutan hilos dedicados a supervisar la integridad de los ganchos instalados, comparando regularmente el prólogo de cada función nativa intervenida.

Si el hilo de integridad constata que los ganchos fueron sobreescritos o que las instrucciones de desvío hacia su motor fueron eliminadas, el sensor no espera a que se complete ninguna acción adicional.

Dispara de inmediato una acción de contención automática: termina el proceso sospechoso, suspende los hilos asociados y, si la política lo establece, aísla el endpoint de la red local para impedir cualquier comunicación lateral.