Quando motores de antivírus parecem rootkits de kernel: um estudo de caso com Volatility
Um artigo técnico do time do Volatility explica por que produtos de segurança como antivírus e EDR frequentemente parecem rootkits durante uma análise de memória, já que usam as mesmas técnicas de hooking empregadas por malware. O post detalha um caso real em que 45 hooks de syscall marcados como "UNKNOWN" foram rastreados e identificados como proteção legítima da Symantec, não como comprometimento.
Fonte ↗