Virtualization/Sandbox Evasion

Prüft, ob ein Prozess innerhalb eines bestimmten (oder irgendeines) Job-Objekts läuft.

Setzt eine Thread-Eigenschaft über die THREADINFOCLASS-Enumeration — bekannt durch ThreadHideFromDebugger.

Liefert den aktuellen Wert des hochauflösenden Performance-Counters und optional dessen Frequenz.

Liefert den nullbasierten Index des logischen Prozessors, auf dem der aufrufende Thread gerade läuft.

Öffnet ein Handle auf ein bestehendes benanntes Event-Objekt.

Wartet, bis ein Dispatcher-Objekt signalisiert wird oder das optionale Timeout abläuft.

Wartet auf bis zu MAXIMUM_WAIT_OBJECTS Dispatcher-Objekte mit WaitAny- oder WaitAll-Semantik.

Erzeugt oder öffnet ein benanntes oder unbenanntes Mutant-(Mutex-)Objekt und übernimmt optional die initiale Eigentümerschaft.

Suspendiert den aufrufenden Thread für ein angegebenes Intervall, optional im Alertable-Zustand.

Liefert die aktuelle Systemzeit als 64-Bit-Zähler in 100-ns-Intervallen seit 1601-01-01 UTC.

Liefert Accounting-, Limit- oder UI-Restriktions-Informationen eines Job-Objekts.

Liefert Metadaten zu einem geöffneten Registry-Schlüssel — Name, Klasse, Anzahl Unterschlüssel/Werte, letzte Änderung.

Erwirbt einen Byte-Range-Lock auf einer geöffneten Datei, optional exklusiv und optional asynchron.

Gibt einen zuvor erworbenen Byte-Range-Lock auf einer geöffneten Datei frei.

Registriert eine asynchrone Benachrichtigungsanforderung für Dateisystemänderungen in einem geöffneten Verzeichnis-Handle.

Sucht ein vorhandenes globales Atom über seinen Namen und liefert dessen 16-Bit-ID, ohne den Refcount zu erhöhen.

Liest den BCD-Boot-Optionen-Blob des Systems — Debug-Flags, OS-Load-Options, Hypervisor-Einstellungen, Test-Signing.

Fordert den Power Manager auf, eine systemweite Energieaktion auszuführen (Schlaf, Ruhezustand, Shutdown, Reboot).