#redteam #pentest #bypassav

👁Обход AVs/EDRs с помощью SysCalls

Syscalls позволяют любой программе переходить в режим ядра для выполнения привилегированных операций, например, записи файла

Большинство антивирусов, EDR и песочниц используют пользовательские хуки, что означает, что они могут отслеживать и перехватывать любой пользовательский вызов API. Однако если мы выполним системный вызов и перейдем в режим ядра, они не смогут ничего отследить

В статье вы узнаете как работают AVs/EDRs, и как с помощью SysCalls выполнить их обход для выполнения вредоносного кода

⌨️SysCalls