Ослепить Sysmon полностью. Манипулируем объектами ETW, чтобы обойти мониторинг

Для подписчиков
Получив доступ к системе, злоумышленник первым делом пытается вывести из строя средства аудита, чтобы как можно дольше оставаться незамеченным. В этой статье я покажу, как атакующий может ослепить средства мониторинга Windows путем манипуляций с подсистемой Event Tracing for Windows (ETW).