← Zurück zum ATT&CK-Index
T1070
Indicator Removal
Auf attack.mitre.org ansehen →6 Syscalls implementieren diese Technik
- NtFreeUserPhysicalPages
Gibt zuvor über NtAllocateUserPhysicalPages allokierte physische Seiten frei und führt sie an den Systemseiten-Pool zurück.
- NtSetInformationJobObject
Setzt eine Policy oder ein Limit auf einem Job Object über eine der JOBOBJECTINFOCLASS-Informationsklassen.
- NtUnloadKey
Hängt einen zuvor geladenen Registry-Hive vom Konfigurationsmanager ab.
- NtMakeTemporaryObject
Löscht das Attribut OBJ_PERMANENT, sodass das Kernel-Objekt freigegeben wird, sobald das letzte Handle schließt.
- NtDeleteAtom
Dekrementiert den Referenzzähler eines globalen Atoms und entfernt es bei Erreichen von Null.
- NtUnloadDriver
Entlädt einen zuvor geladenen Kernel-Mode-Treiber — die BYOVD-Aufräumprimitive.