Impair Defenses: Disable or Modify Tools

Liefert Informationen über Seiten im virtuellen Adressraum eines Zielprozesses.

Liefert Basis- oder Image-spezifische Metadaten eines Section-Objekts.

Prüft, ob zwei gemappte Views durch dieselbe Datei gestützt werden (Identitätstest des File-Objekts).

Erzeugt einen neuen User-Mode-Prozess und dessen initialen Thread aus einem Executable-Image.

Beendet einen Zielprozess samt aller Threads mit einem angegebenen Exit-Status.

Suspendiert alle Threads eines Zielprozesses, indem der Suspend-Zähler jedes Threads erhöht wird.

Beendet den angegebenen Thread mit dem übergebenen Exit-Status. NULL-Handle beendet den aktuellen Thread.

Verändert eine Klasse von Prozesszustand — Anti-Debug-Selbstbereinigung, CET-Range-Registrierung, ACG/CIG-Policy-Installation, Instrumentation-Callbacks.

Generischer Kernel-Setter, ausgewählt über SYSTEM_INFORMATION_CLASS — Zugang zu SystemDebugControl, GDI-Treiberladen und mehr.

Beendet atomar jeden Prozess, der einem Job-Objekt aktuell zugewiesen ist.

Bricht jede ausstehende I/O-Anforderung ab, die der aufrufende Thread auf einem Datei-Handle gestellt hat.

Bricht eine bestimmte ausstehende I/O-Anforderung an einer Datei ab, unabhängig vom ausstellenden Thread.

Bricht einen synchronen I/O-Aufruf ab, der gerade einen anderen Thread blockiert.

Blockiert temporär systemweit alle Registry-Schreiboperationen; von VSS für konsistente Snapshots genutzt.

Hebt ein vorheriges Registry-Freeze auf, sodass Schreibvorgänge fortgesetzt werden; Gegenstück zu NtFreezeRegistry.

Sendet ein IOCTL an einen Kernel-Treiber — User-Mode-Einstieg für jeden BYOVD-Primitive-Missbrauch.

Lädt einen Kernel-Mode-Treiber aus einem registry-beschriebenen Service-Eintrag — der BYOVD-Einstieg.

Entlädt einen zuvor geladenen Kernel-Mode-Treiber — die BYOVD-Aufräumprimitive.