AMSI patchless

SharpBlock.exe -e patched.exe

Executa um binário com AMSI e ETW bloqueados sem aplicar patch na memória em tempo real: o processo é iniciado suspenso e o bloqueio é aplicado antes de inicializar os providers.

Execute-o quando o patch clássico de AMSI/ETW (escrever bytes em amsi.dll ou no provider) falhar porque o EDR verifica a integridade das páginas ou porque o Windows 11 traz proteção. O SharpBlock inicia o processo com CREATE_SUSPENDED e bloqueia AMSI e ETW externamente, antes de o código do alvo executar.

O SharpBlock executa um binário próprio: não serve para PowerShell nem para processos já em execução. O loader deixa artefatos (processo suspenso, injeção) e, se o EDR usar kernel callbacks, o bloqueio de AMSI não evita a detecção do comportamento posterior (dumping, injeção).