Process Discovery
Auf attack.mitre.org ansehen →10 Syscalls implementieren diese Technik
- NtReadVirtualMemory
Liest Bytes aus dem virtuellen Adressraum eines Zielprozesses in einen vom Aufrufer bereitgestellten Puffer.
- NtQueryVirtualMemory
Liefert Informationen über Seiten im virtuellen Adressraum eines Zielprozesses.
- NtOpenProcess
Öffnet ein Handle auf einen existierenden Prozess mit einer angeforderten Zugriffsmaske.
- NtGetNextProcess
Durchläuft die Prozessliste des Kernels und liefert ein Handle auf den nächsten Prozess.
- NtOpenThread
Öffnet ein Handle auf einen vorhandenen Thread, identifiziert per CLIENT_ID, mit den gewünschten Zugriffsrechten.
- NtGetNextThread
Liefert ein Handle auf den nächsten Thread eines Zielprozesses durch Durchlaufen der Kernel-Thread-Liste.
- NtQueryInformationProcess
Liest eine Informationsklasse über einen Prozess aus — universelles Back-End von GetProcessInformation und Arbeitspferd vieler Anti-Debug-Checks.
- NtQueryInformationThread
Liest eine Thread-Eigenschaft über die THREADINFOCLASS-Enumeration — TEB-Pointer, Hide-from-Debugger-Flag, Zeiten, Exit-Status.
- NtQuerySystemInformation
Liest eine systemweite Informationsklasse aus — Prozessliste, Kernel-Handle-Tabelle, geladene Treiberliste, Code-Integritäts-Status und mehr.
- NtAlpcQueryInformation
Fragt Metadaten eines ALPC-Ports ab — Besitzer-Prozess, Message-Statistiken, Server-SID, Port-Attribute.