ETW Patching Module

ETW Patching Module

Deshabilita ETW tracing en el proceso actual:

• EtwEventWrite patch — Parchea ntdll!EtwEventWrite para retornar inmediatamente (ret 0).
• Provider disable — Deshabilita providers específicos: Microsoft-Windows-Threat-Intelligence, DotNET-Runtime.
• Kernel ETW — Técnica para deshabilitar kernel-level ETW via NtSetSystemInformation (requiere admin).
• Selective patching — Solo parchea los providers que monitorizan actividad ofensiva, dejando el resto intacto para reducir sospecha.
• Restore function — Restaura bytes originales al terminar para no dejar evidencia de tampering.