Obfuscated Files or Information: Fileless Storage

Verankert eine virtuelle Speicherregion im Working Set des Prozesses, sodass deren Seiten nicht ausgelagert werden.

Hebt eine zuvor von NtLockVirtualMemory gesetzte Working-Set-Sperre auf.

Liefert die seit dem letzten Reset beschriebenen Seiten einer MEM_WRITE_WATCH-Region.

Setzt den Schreibverfolgungszustand einer MEM_WRITE_WATCH-Region zurück, ohne Dirty Pages abzurufen.

Stellt einen CPU-CONTEXT im aktuellen Thread wieder her und setzt die Ausführung an CONTEXT.Rip fort.

Erzeugt ein benanntes oder unbenanntes Event-Synchronisationsobjekt und liefert ein Handle.

Setzt ein Event-Objekt in den signalisierten Zustand und gibt wartende Threads frei.

Signalisiert atomar ein Dispatcher-Objekt und wartet auf ein anderes in einem einzigen, race-freien Übergang.

Erzeugt ein Kernel-Timer-Objekt, das später mit NtSetTimer scharfgeschaltet werden kann.

Bewaffnet ein Timer-Objekt mit Due-Time, optionaler Periode und optionaler beim Ablauf feuernder APC-Routine.

Erzeugt ein modernes Hochauflösungs-Timer-Objekt mit Unterstützung für Manual-Reset und No-Wake in einem Aufruf.

Bewaffnet ein Timer2-Objekt mit Fälligkeitszeit, optionaler Periode und einem T2_SET_PARAMETERS-Block mit Callback und Flags.

Bricht ein zuvor bewaffnetes Timer2-Objekt ab und meldet, ob es noch ausstand.

Suspendiert den aufrufenden Thread für ein angegebenes Intervall, optional im Alertable-Zustand.

Dequeue't ein einzelnes Completion-Paket aus einem I/O-Completion-Port und blockiert, bis eines verfügbar ist oder das Timeout abläuft.

Blockiert einen Threadpool-Worker, bis ein Work-Item in der Completion-Queue der Factory bereit ist — die Hot-Loop, die PoolParty hijackt.