BusyWork — como tornar sleep() 😴 invisível para EDR

O artigo descreve o BusyWork — uma biblioteca Rust que substitui chamadas sleep() por atividade realista e variada para evadir a detecção de EDR.

Usar sleep() para pausas entre ações cria dois vetores de detecção: 🔎Estático — a presença de primitivos de tempo (Duration, Instant, Sleep, WaitForSingleObject) é facilmente detectada por ferramentas SAST e ambientes de sandbox 🔎Comportamental — o monitoramento de transições de estado de thread e a identificação de padrões periódicos de sono/despertar com atividade mínima entre despertares permite que soluções de EDR detectem esse comportamento

🥷🏻BusyWork tenta contornar ambas as abordagens: o binário compilado não contém primitivos de tempo e, durante uma "pausa", pode emular mais de 2,5 milhões de combinações de operações realistas — desde chamadas de API até atividade de I/O e memória.

🔗 Artigo: https://patchi.fyi/blog/busywork-sleep-replacement

📎 Ferramenta: https://github.com/PatchRequest/BusyWork