ETW patching
Event Tracing for Windows (ETW) es la telemetría que usan EDRs.
Categoría: Red Team & Evasión 🎯 Trinchera — Event Tracing for Windows (ETW) es la telemetría que usan EDRs. PatcheandoEtwEventWrite en ntdll
silencias logs user-mode. Pero ETW Threat Intelligence
(kernel) sigue activo si EDR es PPL.
🔗 Kill chain — Detect ETW-TI con Get-EtwTraceProvider. Si
está activo, user-mode patching no basta — necesitas BYOVD para
silenciar kernel.
📡 Huella defensiva — ETW-TI ve NtTraceEvent patches en
memoria de ntdll; EDRs PPL-aware.
⚠️ Falso amigo — Patchear EtwEventWrite no afecta a
NtTraceEvent directamente. La cadena correcta es patch en
ambas.
🛡️ Remediación — ETW-TI obligatorio en EDR, PPL Anti-Malware
para vendor agent, hunt de regiones de memoria modificadas en
ntdll.
← Volver al glosario completo Última actualización: 2026-06-11