BlackCat / ALPHV
Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.
8 Syscalls erwähnt
- NtOpenProcessToken
Öffnet das einem Prozess zugeordnete Zugriffstoken und gibt ein Handle darauf zurück.
- NtAdjustPrivilegesToken
Aktiviert oder deaktiviert Privilegien in einem angegebenen Zugriffstoken.
- NtDuplicateToken
Erzeugt ein neues Zugriffstoken, das ein vorhandenes Token dupliziert und dabei optional Typ und Impersonations-Level ändert.
- NtCreateNamedPipeFile
Erzeugt das Server-Ende einer Named-Pipe im Geräte-Namespace \Device\NamedPipe.
- NtDeleteKey
Löscht einen Registrierungsschlüssel beim Schließen des Handles — wird verwendet, um Persistenz und Audit-Key-Artefakte nach Ausführung zu beseitigen.
- NtQueryVolumeInformationFile
Liefert Dateisystem- und Volume-Eigenschaften (Label, Größe, Gerätetyp, Attribute) für das Volume hinter einem Datei-Handle.
- NtSetSystemPowerState
Versetzt das System in den angeforderten Energiezustand (Schlaf, Ruhezustand, Betrieb).
- NtInitiatePowerAction
Fordert den Power Manager auf, eine systemweite Energieaktion auszuführen (Schlaf, Ruhezustand, Shutdown, Reboot).