EDR/XDR Bypass 2026 : Techniques Red Team Avancées

Les solutions de détection et réponse aux endpoints, regroupées sous les acronymes EDR (Endpoint Detection and Response) et XDR (Extended Detection and Response), ont profondément transformé le paysage de la cybersécurité offensivo-défensive. En 2026, les équipes red team font face à des produits intégrant des modèles d'intelligence artificielle comportementale, de la télémétrie noyau temps réel et des graphes d'exécution multi-dimensionnels. Les techniques de bypass EDR XDR 2026 red team ne peuvent plus se contenter d'un simple renommage de processus ou d'une obfuscation basique. L'évolution des moteurs de détection impose aux pentesters certifiés OSCP, CRTO et CRTE de maîtriser des approches hybrides combinant l'exploitation du noyau Windows, la manipulation de la mémoire userland et les techniques de living-off-the-land les plus récentes. Ce guide technique exhaustif présente les vecteurs d'évasion documentés en 2026, leurs mécanismes précis, les outils associés et les contre-mesures que toute équipe blue team devrait déployer pour les détecter et neutraliser.

Architecture EDR/XDR moderne : ce que les red teams affrontent en 2026

En 2026, les solutions EDR de nouvelle génération déploient plusieurs couches de défense simultanées et complémentaires. La première couche opère au niveau du noyau Windows via des callbacks enregistrés (PsSetLoadImageNotifyRoutine, PsSetCreateProcessNotifyRoutine, PsSetCreateThreadNotifyRoutine) qui alertent le driver EDR de chaque événement système critique en temps réel. La deuxième couche exploite l'Event Tracing for Windows (ETW), un mécanisme de télémétrie haute performance permettant d'observer des milliers d'événements par seconde avec un overhead minimal.

La troisième couche repose sur des hooks userland placés dans ntdll.dll, interceptant les appels vers les fonctions NT critiques avant qu'ils n'atteignent le noyau. Les moteurs d'intelligence artificielle comportementale constituent désormais la quatrième couche, analysant en temps réel les graphes d'exécution, les séquences d'appels API et les patterns d'accès mémoire. Des solutions comme CrowdStrike Falcon, SentinelOne Singularity ou Microsoft Defender for Endpoint embarquent des modèles de machine learning entraînés sur des milliards d'événements réels. En 2026, ces moteurs atteignent des taux de détection supérieurs à 99% pour les techniques documentées dans MITRE ATT&CK.

La dimension XDR ajoute une corrélation cross-domaines : un comportement suspect sur l'endpoint est immédiatement corrélé avec les logs réseau, les événements Active Directory, les activités cloud Azure/AWS et les données de messagerie. Cette vision holistique rend l'évasion par un seul vecteur insuffisante pour les red teams professionnelles. Comprendre cette architecture multicouche est le prérequis fondamental de toute approche EDR XDR bypass 2026 red team structurée et efficace.

Taxonomie des vecteurs d'évasion : classification 2026

La taxonomie des techniques d'évasion EDR peut être organisée selon la couche ciblée dans la stack défensive. Les attaques sur la couche userland visent les hooks placés dans les DLL système chargées dans chaque processus. Les attaques sur la couche kernel ciblent les callbacks et drivers du système. Les attaques sur la couche télémétrie cherchent à désactiver ou corrompre les mécanismes de collecte d'événements. Enfin, les attaques sur la couche comportementale cherchent à rester sous les seuils de détection de l'IA sans déclencher d'alertes comportementales.

Direct Syscalls et Hell's Gate : contourner les hooks userland en 2026

La technique des direct syscalls est l'une des plus efficaces pour contourner les hooks EDR placés dans ntdll.dll. Lorsqu'un programme appelle NtAllocateVirtualMemory via ntdll.dll, l'EDR intercepte cet appel via un hook (généralement un JMP vers son propre code de monitoring). Les direct syscalls court-circuitent ntdll.dll en invoquant directement les numéros de syscall Windows depuis l'assembleur, sans jamais traverser la DLL hookée par l'EDR.

La technique Hell's Gate, documentée initialement en 2020 et toujours très utilisée en 2026 dans des variantes évoluées, consiste à parser dynamiquement ntdll.dll en mémoire pour extraire les numéros de syscall (SSN — System Service Numbers) en parcourant les opcodes des stubs NT. Une variante avancée, HalosGate, gère le cas où les stubs eux-mêmes ont été hookés par l'EDR en cherchant les SSN dans les stubs voisins non hookés et en calculant l'offset correspondant pour retrouver le bon numéro.

En 2026, des bibliothèques comme SysWhispers3 permettent de générer automatiquement du code assembly inline pour les appels NT courants (NtAllocateVirtualMemory, NtWriteVirtualMemory, NtCreateThreadEx, NtOpenProcess, etc.). Ces techniques sont référencées dans le framework MITRE ATT&CK sous T1055 (Process Injection) et ses sous-techniques. La contre-mesure principale repose sur la surveillance des patterns d'exécution de syscalls depuis des adresses mémoire n'appartenant pas à des modules légitimes, détectée par les callbacks EtwTi au niveau kernel — une surveillance invisible depuis l'userland.

Process Injection : techniques avancées pour red teams 2026

L'injection de code dans un processus légitime reste l'une des approches fondamentales du red teaming offensif. En 2026, les techniques classiques (CreateRemoteThread, SetWindowsHookEx, NtMapViewOfSection basique) sont systématiquement détectées par les EDR modernes via leurs callbacks kernel et leurs moteurs comportementaux. Les red teams s'orientent vers des variantes moins documentées, exploitant des mécanismes Windows légitimes rarement monitorés dans les configurations par défaut.

La Process Hollowing évolue vers le Ghost Writing : plutôt que de réécrire l'image principale d'un processus suspendu, le shellcode est écrit dans une zone mémoire allouée avec des permissions initiales anodines (RW), avant d'être rendue exécutable juste avant l'exécution via une APC (Asynchronous Procedure Call). En 2026, les EDR enterprise surveillent intensément toutes les transitions de permissions mémoire (W vers X) et les APCs inter-processus via EtwTi, rendant cette approche plus difficile à exploiter sans préparation.

La technique Module Stomping (ou DLL Stomping) consiste à écraser une DLL légitime déjà chargée dans un processus cible avec du shellcode. Les variantes avancées de 2026 choisissent des DLLs peu utilisées mais signées Microsoft, minimisant les alertes sur les hashes de signature. La combinaison avec le Thread Hijacking — détournement d'un thread existant plutôt que création d'un nouveau — réduit significativement l'empreinte détectable, car aucun nouveau thread n'est créé et aucun callback PsSetCreateThreadNotifyRoutine n'est déclenché.

Pour approfondir les techniques d'évasion dans les environnements modernes, notre analyse détaillée des techniques d'évasion EDR/XDR couvre l'ensemble des mécanismes de détection côté défense et permet de calibrer précisément les exercices red team par niveau de maturité EDR.

AMSI et ETW Bypass : désactiver la télémétrie Windows en 2026

L'Antimalware Scan Interface (AMSI) est un framework Microsoft permettant aux solutions de sécurité d'inspecter le contenu des scripts PowerShell, JScript, VBScript et d'autres langages interprétés avant leur exécution. En 2026, contourner AMSI reste indispensable pour l'exécution de scripts offensifs depuis la mémoire sans déclencher d'alerte lors du chargement d'un implant ou d'un module Cobalt Strike.

La technique de AMSI patching la plus courante consiste à modifier en mémoire la fonction AmsiScanBuffer dans amsi.dll pour qu'elle retourne systématiquement AMSI_RESULT_CLEAN. En 2026, les EDR avancés surveillent l'intégrité de cette fonction via des mécanismes de hashing périodiques et des page guards. Les red teams utilisent désormais des approches plus subtiles et résistantes : forcer une erreur dans le contexte AMSI (corruption du pointeur amsiContext), ou exploiter des interfaces COM alternatives non encore instrumentées par les EDR courants.

L'Event Tracing for Windows (ETW) constitue l'épine dorsale de la télémétrie offerte aux EDR modernes. Le provider Microsoft-Windows-Threat-Intelligence (EtwTi), accessible uniquement depuis le kernel en 2026, transmet des événements critiques sur les allocations mémoire exécutables et les injections que les EDR exploitent intensivement. La désactivation d'ETW au niveau userland (patching de NtTraceEvent dans ntdll.dll) est désormais détectée par les callbacks kernel. Les approches fonctionnelles en 2026 visent les providers moins surveillés ou utilisent la technique de Provider Tampering via des appels WMI légitimes.

Les recherches publiées par Elastic Security Labs documentent en détail les patterns de détection de ces techniques, offrant aux red teams et aux blue teams une référence commune pour calibrer leurs exercices et mesurer les gaps de détection de manière objective et reproductible.

BYOVD et évasion kernel : neutraliser l'EDR depuis Ring 0

La technique BYOVD (Bring Your Own Vulnerable Driver) consiste à charger dans le noyau Windows un driver légitime mais vulnérable, puis à exploiter sa vulnérabilité pour exécuter du code en mode kernel (Ring 0). Cette approche permet de désactiver les callbacks EDR, de modifier des structures kernel critiques via DKOM et d'éliminer silencieusement tout mécanisme de défense opérant depuis le noyau, sans déclencher d'alerte au niveau userland.

En 2026, Microsoft a considérablement renforcé le Windows Kernel Vulnerable Driver Blocklist (intégré dans HVCI — Hypervisor Protected Code Integrity) et le Driver Signature Enforcement. Cependant, de nouveaux drivers vulnérables sont régulièrement découverts et exploités avant leur ajout à la blocklist officielle. Les red teams avancées maintiennent des inventaires privés de drivers signés et vulnérables adaptés à des versions spécifiques de Windows Server 2022 et Windows 11.

L'outil EDRSandBlast illustre parfaitement cette approche : il utilise un driver vulnérable pour lire et modifier la mémoire kernel, ciblant les structures de callbacks EDR pour les neutraliser silencieusement. Ses successeurs open source de 2026 intègrent des techniques de DKOM (Direct Kernel Object Manipulation) pour masquer des processus ou des connexions réseau directement dans les structures EPROCESS du noyau, sans déclencher de callbacks monitorés par les EDR actifs.

Cette problématique s'inscrit directement dans les scénarios d'escalade de privilèges Windows documentés dans nos analyses techniques, où l'obtention de privilèges SYSTEM ou SeLoadDriverPrivilege précède systématiquement le chargement de drivers malveillants dans les chaînes d'attaque APT avancées.

EDR Unhooking : restaurer les stubs NT originaux sans détection

L'EDR Unhooking est une technique visant à supprimer les hooks placés par l'EDR dans ntdll.dll et potentiellement d'autres DLL système (kernel32.dll, kernelbase.dll) pour restaurer les appels système originaux non instrumentés. En 2026, plusieurs méthodes permettent d'obtenir une version propre de ntdll.dll sans les hooks de l'EDR actif sur la machine cible.

La première approche consiste à lire ntdll.dll directement depuis le disque ou depuis le KnownDlls (\KnownDlls\ntdll.dll en utilisant NtOpenSection sur l'objet kernel correspondant), puis à copier les sections .text de cette version propre sur la version hookée en mémoire. En 2026, les EDR avancés surveillent les accès à \KnownDlls, les modifications des pages mémoire de ntdll.dll via des page guards et les patterns de lecture de fichiers système depuis des processus inhabituels.

Une approche plus résistante utilise la Transacted Hollowing pour obtenir un handle sur une copie propre de ntdll via les transactions NTFS, évitant les hooks sur NtReadFile normalement surveillés. L'outil Freeze développé par Optiv intègre nativement des mécanismes d'unhooking sophistiqués, permettant de créer des processus creux et d'y injecter du shellcode avec un minimum d'interactions avec les API surveillées par l'EDR. Freeze combine unhooking, direct syscalls et chiffrement du payload dans une chaîne cohérente adaptée aux exercices red team professionnels en 2026.

Sleep Obfuscation et chiffrement mémoire : survivre aux scans périodiques

Les scanners mémoire des EDR modernes effectuent des analyses périodiques des régions mémoire privées à la recherche de shellcode actif, de signatures de frameworks C2 connus ou de patterns PE inhabituels. La technique de Sleep Obfuscation consiste à chiffrer entièrement le shellcode en mémoire pendant les périodes d'inactivité entre les check-ins C2, rendant les scans périodiques inefficaces contre des implants bien conçus.

La technique Ekko utilise les timers Windows (NtSetTimer2) et les APCs pour orchestrer le chiffrement et déchiffrement du shellcode en mémoire de manière asynchrone, sans créer de nouveaux threads suspects observables par les EDR. Des variantes comme Cronos et Foliage exploitent respectivement les Wait Timers et les Fibers Windows pour implémenter un sleep obfuscation encore plus difficile à instrumenter avec les callbacks standard.

La combinaison sleep obfuscation + heap encryption (chiffrement des structures de configuration C2 stockées en heap) + stack spoofing (falsification de la call stack visible par les EDR lors des scans mémoire) constitue en 2026 le triptyque minimal pour maintenir un implant persistant sous un EDR enterprise moderne. Ces techniques sont partiellement documentées sous T1620 (Reflective Code Loading) dans MITRE ATT&CK v15.

Freeze et l'arsenal open source red team 2026

L'outil Freeze développé par Optiv est représentatif de la génération d'outils red team 2026. Il automatise la création de payloads ciblant les EDR en combinant plusieurs techniques en séquence : création de processus via des méthodes non conventionnelles (NtCreateUserProcess avec des flags inhabituels), unhooking dynamique de ntdll, injection de shellcode avec appels syscall directs, et application d'une couche de chiffrement sur le payload final. Freeze illustre comment la chaîne complète d'un bypass EDR peut être industrialisée pour des engagements opérationnels.

Le framework Havoc C2, successeur spirituel de Cobalt Strike dans le domaine open source, embarque nativement en 2026 des fonctionnalités d'évasion avancées : Phantom DLL hollowing, token manipulation via NtDuplicateToken, AMSI bypass intégré, support des BOFs (Beacon Object Files) pour l'exécution in-memory de code natif, et des profils de communication HTTPS/DNS mimant les outils légitimes. Sliver de BishopFox propose une approche complémentaire avec un support multiplateforme et des implants mTLS mutuels résistants à l'inspection SSL des proxies d'entreprise.

IA défensive et reverse engineering : la nouvelle frontière 2026

En 2026, les EDR de pointe intègrent des modèles d'IA entraînés spécifiquement pour le reverse engineering automatisé des implants. Ces modèles analysent les patterns de code obfusqué, reconstituent partiellement les graphes de contrôle de flux et détectent les caractéristiques des frameworks C2 connus même sous une couche d'obfuscation polymorphique avancée. Notre article sur l'IA appliquée au reverse engineering de malware détaille ces capacités défensives, leurs performances mesurées et leurs limites actuelles face aux techniques les plus récentes.

Face à cette évolution de l'IA défensive, les red teams professionnelles développent des approches de code morphing dynamique : le shellcode se réécrit partiellement à chaque exécution en modifiant les constantes d'initialisation, les séquences de bootstrap et les patterns de communication C2. Des techniques comme le polymorphic encryption combiné au metamorphic shellcode permettent de générer des implants dont la signature change à chaque déploiement, compliquant l'entraînement des modèles de détection statique et allongeant le délai avant ajout aux bases de signatures.

La corrélation entre les exercices red team offensifs et les capacités de l'IA défensive est au cœur de l'approche documentée dans notre guide purple team 2026 pour les environnements AD et cloud, permettant de mesurer précisément les gaps de détection et d'itérer sur les règles SIEM en temps réel avec les équipes blue team.

Living-Off-the-Land Binaries : exploitation contextuelle des outils système

Les techniques LOLBAS (Living Off the Land Binaries and Scripts) exploitent les outils légitimes présents dans Windows pour réaliser des opérations offensives sans déposer de fichier malveillant sur le disque. En 2026, certutil, bitsadmin, mshta, wscript, cscript, regsvr32, rundll32, MSBuild et certaines fonctionnalités de curl.exe intégré restent utilisables pour le téléchargement, l'exécution et la persistance dans des contextes bien précis.

En 2026, les EDR appliquent des règles comportementales strictes sur tous ces binaires dès lors qu'ils sortent de leur contexte légitime habituel. La clé opérationnelle est la contextualisation : exécuter un LOLBAS dans un contexte cohérent avec l'activité normale de la machine cible (même parent process, même heure d'exécution, même utilisateur que les utilisations légitimes observées) réduit le score de risque comportemental calculé par les moteurs ML des EDR modernes. Les red teams de niveau avancé modélisent le comportement légitime de chaque machine avant d'y opérer.

1. Inventorier les binaires LOLBAS présents et actifs sur la cible via des outils d'énumération passive
2. Observer et modéliser le contexte d'usage légitime de chaque binaire (parent process normal, horaires, utilisateur habituel)
3. Construire une chaîne d'exécution mimant les patterns légitimes observés en termes de timing et de contexte
4. Tester la détection en mode audit EDR avant de passer en mode exécution réelle
5. Documenter précisément chaque TTP utilisé pour le rapport final avec mapping MITRE ATT&CK

Contre-mesures défensives : arsenal blue team 2026

Face à la sophistication croissante des techniques de bypass documentées en 2026, les équipes défensives disposent d'un arsenal de contre-mesures efficaces à condition de les déployer correctement et complètement. La première priorité absolue est l'activation de HVCI (Hypervisor-Protected Code Integrity) sur tous les endpoints critiques : cette fonctionnalité empêche le chargement de drivers non signés Microsoft et protège l'intégrité du noyau contre les attaques DKOM et BYOVD, rendant la classe la plus dangereuse de bypass techniquement impossible.

Le déploiement de Credential Guard et du Protected Processes Light (PPL) pour les processus LSASS et les agents EDR réduit significativement la surface d'attaque pour les injections et le vol de credentials. En 2026, la configuration PPL pour l'agent EDR est une best practice universellement recommandée mais encore trop rarement appliquée dans les environnements opérationnels réels, souvent pour des raisons de compatibilité applicative non documentée.

• Activer HVCI, Secure Boot, et la liste de blocage des drivers vulnérables (Microsoft WDAC en mode whitelist strict)
• Déployer Sysmon avec une politique complète (configuration Olaf Hartong ou SwiftOnSecurity) pour enrichir la télémétrie SIEM
• Configurer les règles ASR (Attack Surface Reduction) de Microsoft Defender en mode block sur tous les endpoints exposés
• Activer la journalisation PowerShell ScriptBlock (événement 4104) et la journalisation des modules PS chargés
• Surveiller les modifications d'intégrité de ntdll.dll et des DLL système via des hashes périodiques automatisés
• Détecter les accès inhabituels à \KnownDlls et aux sections partagées du noyau via des règles SIEM dédiées
• Alerter sur tout chargement de driver non référencé dans la politique WDAC de l'organisation
• Intégrer les IoC publiés par Elastic Security Labs et les GitHub de recherche dans les règles SIEM pour couvrir les outils open source connus

FAQ — EDR XDR bypass 2026 red team

Qu'est-ce qu'un direct syscall et pourquoi est-il efficace contre les EDR en 2026 ?

Un direct syscall consiste à invoquer les fonctions du noyau Windows directement depuis l'assembleur, en utilisant l'instruction SYSCALL avec le numéro de service système (SSN) approprié, sans passer par ntdll.dll. Les EDR modernes hookent ntdll.dll dans l'espace utilisateur pour intercepter les appels aux fonctions NT (NtAllocateVirtualMemory, NtWriteVirtualMemory, NtCreateThreadEx, etc.). En bypassant ntdll.dll, le code offensif atteint directement le noyau sans déclencher ces hooks. Des bibliothèques comme SysWhispers3 automatisent la génération du code assembleur nécessaire pour les appels syscall les plus courants dans un engagement red team. La contre-mesure principale en 2026 repose sur la détection des patterns de syscall depuis des adresses mémoire n'appartenant pas à des modules légitimes chargés en mémoire, analysée par les callbacks EtwTi opérant au niveau kernel et donc invisibles depuis l'userland.

Comment les EDR de 2026 détectent-ils les injections de processus avancées ?

Les EDR enterprise de 2026 utilisent plusieurs mécanismes complémentaires pour détecter les injections de processus même les plus sophistiquées. Au niveau kernel, les callbacks PsSetCreateThreadNotifyRoutine détectent toutes les créations de threads distants inter-processus, tandis qu'EtwTi fournit des événements détaillés sur les allocations mémoire avec des permissions anormales (RWX ou transitions W vers X). Au niveau comportemental, les moteurs ML analysent le graphe de processus en continu : un svchost.exe qui commence soudainement à établir des connexions réseau vers des IPs inhabituelles ou à spawner des processus enfants non attendus déclenche immédiatement une alerte de haute priorité. La technique du indirect syscall (appel depuis un stub légitime dans ntdll non hookée) permet de tromper partiellement la call stack analysis, mais reste détectable par les EDR les plus avancés via la corrélation EtwTi et l'analyse comportementale longitudinale. En 2026, la combinaison module stomping + thread hijacking + direct syscalls est l'approche la moins détectable documentée publiquement dans les conférences spécialisées.

Comment structurer un test d'évasion EDR avec le framework MITRE ATT&CK en 2026 ?

Le framework MITRE ATT&CK offre en 2026 une taxonomie exhaustive de toutes les techniques d'évasion de défenses sous la tactique TA0005, avec plus de 40 techniques et sous-techniques documentées. Pour structurer un test d'évasion EDR, commencez par mapper les techniques à tester sur les IDs ATT&CK correspondants : T1055 (Process Injection), T1562.001 (Disable or Modify Tools), T1562.006 (Indicator Blocking), T1620 (Reflective Code Loading), T1014 (Rootkit), T1055.012 (Process Hollowing). Pour chaque technique, ATT&CK documente les sous-techniques, les groupes APT connus l'utilisant en conditions réelles, et les détections recommandées avec les sources de données associées. Des outils comme VECTR ou l'agent Caldera permettent d'automatiser l'exécution des techniques ATT&CK et de mesurer les taux de détection de l'EDR cible en temps réel, produisant des rapports de couverture directement exploitables par les équipes blue team pour améliorer leurs règles de détection.

Pourquoi le BYOVD reste-t-il une menace critique malgré les protections Microsoft en 2026 ?

Malgré les progrès significatifs de Microsoft (WDAC, HVCI, Driver Signature Enforcement, la vulnerable driver blocklist embarquée dans Windows Update), le BYOVD reste une menace critique en 2026 pour plusieurs raisons structurelles. Premièrement, HVCI n'est pas activé par défaut sur la majorité des machines d'entreprise pour des raisons de compatibilité applicative et de performance sur certains workloads. Deuxièmement, la blocklist Microsoft présente inévitablement un délai entre la découverte d'un driver vulnérable et son ajout : les acteurs APT sophistiqués exploitent activement cette fenêtre temporelle. Troisièmement, des milliers d'applications légitimes signées utilisent des drivers embarquant des vulnérabilités non encore divulguées publiquement. En 2026, des groupes APT comme Lazarus Group et des affiliés de ransomware ont démontré des capacités BYOVD avancées dans des opérations documentées par les équipes de threat intelligence de plusieurs éditeurs EDR. La défense la plus efficace et la seule vraiment systémique reste l'activation d'HVCI sur tous les endpoints critiques, couplée à une politique WDAC en mode allowlist strict.

Conclusion

Les techniques d'EDR XDR bypass 2026 red team atteignent en 2026 un niveau de sophistication sans précédent, reflétant l'évolution parallèle et accélérée des capacités défensives et offensives dans l'industrie de la cybersécurité. Les red teams professionnelles ne peuvent plus se contenter d'approches mono-techniques : la réalité opérationnelle impose des chaînes d'attaque composites combinant direct syscalls, sleep obfuscation, process injection avancée, EDR unhooking et LOLBAS contextualisé pour opérer sous un EDR enterprise moderne sans déclencher d'alerte.

La vraie valeur ajoutée d'un exercice red team en 2026 ne réside pas dans le simple bypass d'une solution EDR — n'importe quel attaquant suffisamment motivé peut y parvenir. Elle réside dans la capacité à documenter précisément chaque technique utilisée, à la mapper rigoureusement dans MITRE ATT&CK, et à fournir à l'équipe blue team les IoC, les règles de détection et les contre-mesures nécessaires pour combler les gaps de visibilité identifiés. L'approche purple team, où les équipes offensives et défensives collaborent en temps réel et itèrent sur les configurations, est désormais la référence pour les organisations atteignant une maturité sécurité avancée.

La maîtrise opérationnelle de ces techniques requiert une formation continue, une pratique régulière en environnement lab isolé et une veille permanente sur les publications de référence comme Elastic Security Labs, les dépôts GitHub spécialisés et les conférences DEF CON et Black Hat. Les certifications OSCP, CRTO et CRTE fournissent les bases conceptuelles nécessaires, mais le vrai différenciateur en 2026 est la capacité à comprendre les mécanismes profonds du noyau Windows et à développer des techniques adaptées à des environnements EDR spécifiques.