Вопрос DSE Bypass vs BYOVD: противостояние KPP и HVCI

[hex_cat]

Народ, решил поднять тему, так как стандартные методы обхода драйверов начинают всё чаще триггерить систему. Сейчас активно копаю в сторону DSE bypass через патчинг {g_cioptions} и бут-тайм эксплойты, сравнивая их с классическим BYOVD.

Суть вопроса в том, что именно сейчас получает сильнее всего по шапке от современного KPP и HVCI.

1. Патчинг {g_cioptions} — метод старый как мир, но сейчас при включенном HVCI выхватывает проверки целостности на лету.
2. Бут-тайм эксплойты — дают больше контроля, но требуют серьезной подготовки окружения до старта ядра.
3. BYOVD — максимально избитая тема, где сигнатуры уязвимых драйверов улетают в черный список быстрее, чем успеваешь сделать load.

Есть ощущение, что патчинг {g_cioptions} стал чуть ли не самым рискованным путем из-за того, как гипервизор следит за структурой ядра в актуальных сборках.

Кто ковырял последние обновления защиты в плане мониторинга целостности — какой метод по вашему опыту сейчас меньше всего светится в логах и реже приводит к BSOD при проверках HVCI? Пишите, кто сталкивался с подобными блокировками.