AMSI patchless

SharpBlock.exe -e patched.exe

Ejecuta un binario con AMSI y ETW bloqueados sin parchear memoria en caliente: el proceso arranca suspendido y el bloqueo se aplica antes de inicializar los providers.

Ejecútalo cuando el parche clásico de AMSI/ETW (escribir bytes en amsi.dll o en el provider) falla porque el EDR verifica integridad de páginas o porque Windows 11 trae protección. SharpBlock lanza el proceso con CREATE_SUSPENDED y bloquea AMSI y ETW desde fuera, antes de que el código del target ejecute.

SharpBlock ejecuta un binario propio: no sirve para PowerShell ni para procesos ya corriendo. El loader deja artefactos (proceso suspendido, inyección) y, si el EDR usa kernel callbacks, el bloqueo de AMSI no evita la detección del comportamiento posterior (dumping, inyección).