я на счëт детекта кдмаппера не писал. а то, что тебя не ебут артефакты, не значит, что их там нету.
по статье:
NMI callbacks, модификация KTHREAD - это теоретические возможности. они сложны, рискованны для стабильности системы и создают ложные срабатывания.
EAC использует более простые и надежные методы: проверка CVE-2019-16098, мониторинг нестандартных IRP, анализ артефактов маппера - это методы против основных инструментов.
статья подтверждает мою точку зрения: сама цитируемая статья говорит, что обнаружение через unbacked memory - рабочая методика, и предлагает сложные обходы именно потому, что базовый детект эффективен
реальность такова: EAC эффективно детектит использование kdmapper и подобных инструментов через комбинацию проверок: артефакты маппера, unbacked memory, уязвимости ядра, мониторинг IRP. сложные методы вроде NMI лишь подтверждают, что базовые защиты работают достаточно хорошо.
написал, что я не прав и закинул статью, которая доказала, что я прав.
