Process Hollowing
Auf attack.mitre.org ansehen →11 Syscalls implementieren diese Technik
- NtWriteVirtualMemory
Schreibt einen Puffer des Aufrufers in den virtuellen Adressraum eines Zielprozesses.
- NtCreateSection
Erzeugt ein Section-Objekt, gestützt durch eine Datei oder das System-Pagefile, für Shared-Memory-Mapping.
- NtMapViewOfSection
Bildet eine View eines Section-Objekts in den virtuellen Adressraum eines Zielprozesses ab.
- NtMapViewOfSectionEx
Erweiterter Section-Mapping-Syscall (ab Windows 10 1809), der MEM_EXTENDED_PARAMETER-Vorgaben akzeptiert.
- NtUnmapViewOfSection
Hebt das Mapping einer zuvor gemappten Section-View aus dem Adressraum eines Prozesses auf.
- NtCreateThreadEx
Erzeugt einen neuen Thread in einem Zielprozess, optional suspendiert, mit Unterstützung von Attribute-Listen.
- NtCreateProcess
Legacy-NT-Prozesserzeugung aus einem vorab gebauten Section-Objekt — Vorgänger von NtCreateProcessEx und NtCreateUserProcess.
- NtCreateProcessEx
Erzeugt einen neuen Prozess aus einem Section-Handle ohne ntdll-Prozessinitialisierung — Baustein des Process Hollowing.
- NtResumeProcess
Verringert den Suspend-Zähler jedes Threads in einem Zielprozess und setzt diejenigen fort, die null erreichen.
- NtResumeThread
Verringert den Suspend-Count eines Threads; bei Wert null wird die Ausführung fortgesetzt.
- NtCommitTransaction
Committet eine KTM-Transaktion und schreibt sämtliche darin vorgenommenen Änderungen atomar auf die Platte.