EDR Unhooking Library

EDR Unhooking Library

Restaura ntdll.dll limpia para eliminar hooks instalados por EDRs:

• KnownDlls method — Carga copia limpia de ntdll desde \KnownDlls\ntdll.dll y reemplaza la .text section hookeada.
• Disk read method — Lee ntdll.dll desde C:\Windows\System32\ y restaura bytes originales.
• Suspended process — Crea proceso suspendido, lee su ntdll (aún no hookeada), usa esos bytes.
• Direct syscalls fallback — Si unhooking falla, usa syscall stubs directos (Nt* functions) como alternativa.
• Verification — Compara bytes de ntdll en memoria vs disco para confirmar que los hooks fueron removidos.