Hunt-Weird-Syscalls

Hunt-Weird-Syscalls 这是一个基于 ETW 的 POC，用于监控异常系统调用（syscall）。 目前，监控 NtOpenThread 和 NtSetContextThread 这两个系统调用，以识别表明直接 和间接 系统调用的 IOC。 描述 该项目使用 ETW，更准确地说是基于内核的 ETW 提供程序，来监控 IOC。 内核中的 ETW 提供程序可以被有效利用，因为所发出事件的调用跟踪（calltrace）包含执行系统调用时的用户态地址。 这样可以监控表明直接和间接系统调用的 IOC，这是一种常被威胁行为者利用的技术： 1:...