File and Directory Discovery
Auf attack.mitre.org ansehen →9 Syscalls implementieren diese Technik
- NtQueryInformationByName
Fragt Dateiinformationen per Pfad ohne offenes Handle ab, eingeführt in Windows 10 RS5.
- NtOpenFile
Öffnet ein Handle auf eine vorhandene Datei oder ein Gerät — das leichte No-Create-Pendant zu NtCreateFile.
- NtQueryDirectoryFile
Enumeriert ein Verzeichnis auf IRP-Ebene — von Rootkits genutzt, um Dateien durch Manipulation der Rückgabeliste zu verbergen.
- NtNotifyChangeDirectoryFile
Registriert eine asynchrone Benachrichtigungsanforderung für Dateisystemänderungen in einem geöffneten Verzeichnis-Handle.
- NtNotifyChangeDirectoryFileEx
Erweiterte Verzeichnis-Änderungsbenachrichtigung, bei der der Aufrufer die im Puffer zurückgegebene FILE_NOTIFY_INFORMATION-Klasse wählen kann.
- NtQueryVolumeInformationFile
Liefert Dateisystem- und Volume-Eigenschaften (Label, Größe, Gerätetyp, Attribute) für das Volume hinter einem Datei-Handle.
- NtOpenDirectoryObject
Öffnet ein vorhandenes Directory-Objekt im Namensraum des Windows Object Managers.
- NtQueryDirectoryObject
Enumeriert die Einträge (Name + Typ) innerhalb eines Object-Manager-Verzeichnisses.
- NtOpenSymbolicLinkObject
Öffnet einen bestehenden Object-Manager-Symlink über seinen Namen und liefert ein Handle für spätere Abfrage oder Löschung.