← Zurück zum ATT&CK-Index
T1055.003sub-technique
Thread Execution Hijacking
Auf attack.mitre.org ansehen →6 Syscalls implementieren diese Technik
- NtOpenThread
Öffnet ein Handle auf einen vorhandenen Thread, identifiziert per CLIENT_ID, mit den gewünschten Zugriffsrechten.
- NtSuspendThread
Erhöht den Suspend-Zähler eines Ziel-Threads und hält dessen Ausführung an.
- NtTerminateThread
Beendet den angegebenen Thread mit dem übergebenen Exit-Status. NULL-Handle beendet den aktuellen Thread.
- NtGetContextThread
Liest den CPU-Registerkontext (CONTEXT-Struktur) eines suspendierten Threads aus.
- NtSetContextThread
Setzt den CPU-Registerkontext eines Threads — die Kernel-Primitive hinter Thread-Hijacking und Shellcode-Umleitung.
- NtGetNextThread
Liefert ein Handle auf den nächsten Thread eines Zielprozesses durch Durchlaufen der Kernel-Thread-Liste.