Obfuscated Files or Information
Auf attack.mitre.org ansehen →13 Syscalls implementieren diese Technik
- NtFlushVirtualMemory
Schreibt veränderte Seiten einer dateigestützten View auf die Platte zurück, analog zu FlushViewOfFile.
- NtLockVirtualMemory
Verankert eine virtuelle Speicherregion im Working Set des Prozesses, sodass deren Seiten nicht ausgelagert werden.
- NtUnlockVirtualMemory
Hebt eine zuvor von NtLockVirtualMemory gesetzte Working-Set-Sperre auf.
- NtMapUserPhysicalPages
Mappt AWE-allokierte physische Seiten in ein zuvor reserviertes virtuelles Adressfenster.
- NtAlertThreadByThreadId
Weckt einen einzelnen Thread (per TID identifiziert), der in NtWaitForAlertByThreadId parkt — die Kernel-Seite von WakeByAddressSingle.
- NtWaitForAlertByThreadId
Parkt den aufrufenden Thread, bis NtAlertThreadByThreadId ihn weckt — die Kernel-Seite von WaitOnAddress.
- NtClearEvent
Setzt ein Event-Objekt auf nicht-signalisiert, ohne den vorherigen Zustand zurückzugeben.
- NtSignalAndWaitForSingleObject
Signalisiert atomar ein Dispatcher-Objekt und wartet auf ein anderes in einem einzigen, race-freien Übergang.
- NtWaitForKeyedEvent
Blockiert den aufrufenden Thread auf einem Keyed Event, bis ein anderer Thread dasselbe (Event, Key)-Paar freigibt.
- NtReleaseKeyedEvent
Weckt genau einen auf dasselbe (Keyed-Event, Key)-Paar wartenden Thread; blockiert, falls noch kein Waiter vorhanden ist.
- NtCancelTimer
Bricht eine ausstehende NtSetTimer-Bewaffnung ab und meldet, ob der Timer zum Abbruchzeitpunkt noch aktiv war.
- NtCreateTransaction
Erzeugt ein neues KTM-Transaktionsobjekt (Kernel Transaction Manager), das NTFS-Operationen atomar zusammenfasst.
- NtRollbackTransaction
Rollt eine KTM-Transaktion zurück und verwirft sämtliche darin vorgenommenen Änderungen.