Indirect / Direct Syscalls
En lugar de llamar NtAllocateVirtualMemory desde ntdll.dll (donde EDR puede haber colocado userland hooks), ejecutas el syscall directamente con syscall instruction.
Categoría: Red Team & Evasión 🎯 Trinchera — En lugar de llamarNtAllocateVirtualMemory
desde ntdll.dll (donde EDR puede haber colocado userland hooks),
ejecutas el syscall directamente con syscall instruction. Direct:
syscall hardcoded. Indirect: encontrar gadget syscall; ret
en ntdll legítima.
🔗 Kill chain — Tools: SysWhispers3, HellHall, Halo's Gate,
Tartarus' Gate. Indirect prefirido (no hay anomalía de
“syscall fuera de ntdll”).
📡 Huella defensiva — ETW-TI kernel ve los syscalls igual
(no se pueden ocultar). Algunos EDR detectan ausencia de
hooked APIs en flow.
⚠️ Falso amigo — Direct syscalls tienen anomalía: instrucción
syscall desde fuera del rango ntdll. Indirect lo evita.
🛡️ Remediación — Confiar en kernel-level telemetría (ETW-TI),
no en userland hooks. SysmonForLinux equivalente.
← Volver al glosario completo Última actualización: 2026-06-11