Ya sabéis que los Endpoint Detection and Response (EDR) monitorizan las llamadas a la API de Windows en busca de comportamientos sospechosos. Normalmente, interceptan las funciones en ntdll.dll mediante técnicas como hooking de API en user-mode. Hasta ahora, usábamos evasiones como las syscalls directas, en C, assembly, SysWhispers o Halo’s Gate por ejemplo, pero estas medidas por sí solas ya no son suficientes porque los EDRs modernos han evolucionado y han incorporado múltiples mecanismos de detección.