Brute Ratel C4
Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.
22 Syscalls erwähnt
- NtQueueApcThreadEx
Reiht einen User-APC für einen Thread mit optionalem Reserve-Objekt oder Special-User-APC-Flag zur erzwungenen Zustellung ein.
- NtContinue
Stellt einen CPU-CONTEXT im aktuellen Thread wieder her und setzt die Ausführung an CONTEXT.Rip fort.
- NtAlertResumeThread
Setzt einen suspendierten Thread fort und alarmiert ihn gleichzeitig, sodass anstehende APCs zugestellt werden.
- NtTraceControl
Gemultiplextes Kontroll-IOCTL für das ETW-Subsystem — Sitzungen starten, stoppen, abfragen, flushen und Provider aktivieren/deaktivieren.
- NtCreateEvent
Erzeugt ein benanntes oder unbenanntes Event-Synchronisationsobjekt und liefert ein Handle.
- NtOpenEvent
Öffnet ein Handle auf ein bestehendes benanntes Event-Objekt.
- NtSetEvent
Setzt ein Event-Objekt in den signalisierten Zustand und gibt wartende Threads frei.
- NtResetEvent
Setzt ein Event-Objekt auf nicht-signalisiert zurück und liefert den vorherigen Signalzustand.
- NtClearEvent
Setzt ein Event-Objekt auf nicht-signalisiert, ohne den vorherigen Zustand zurückzugeben.
- NtWaitForSingleObject
Wartet, bis ein Dispatcher-Objekt signalisiert wird oder das optionale Timeout abläuft.
- NtWaitForMultipleObjects
Wartet auf bis zu MAXIMUM_WAIT_OBJECTS Dispatcher-Objekte mit WaitAny- oder WaitAll-Semantik.
- NtCreateTimer
Erzeugt ein Kernel-Timer-Objekt, das später mit NtSetTimer scharfgeschaltet werden kann.
- NtSetTimer
Bewaffnet ein Timer-Objekt mit Due-Time, optionaler Periode und optionaler beim Ablauf feuernder APC-Routine.
- NtCancelTimer
Bricht eine ausstehende NtSetTimer-Bewaffnung ab und meldet, ob der Timer zum Abbruchzeitpunkt noch aktiv war.
- NtDelayExecution
Suspendiert den aufrufenden Thread für ein angegebenes Intervall, optional im Alertable-Zustand.
- NtCreateNamedPipeFile
Erzeugt das Server-Ende einer Named-Pipe im Geräte-Namespace \Device\NamedPipe.
- NtAlpcCreatePort
Erzeugt einen serverseitigen ALPC-Connection-Port, den Clients per NtAlpcConnectPort erreichen können.
- NtAlpcConnectPort
Stellt eine Client-ALPC-Verbindung zu einem benannten Server-Port her und tauscht eine initiale Nachricht aus.
- NtAlpcSendWaitReceivePort
Sendet eine ALPC-Nachricht auf einem Port und wartet optional auf eine Antwort oder die nächste eingehende Nachricht.
- NtOpenFile
Öffnet ein Handle auf eine vorhandene Datei oder ein Gerät — das leichte No-Create-Pendant zu NtCreateFile.
- NtCreateDirectoryObject
Erzeugt ein neues Directory-Objekt im Namensraum des Windows Object Managers.
- NtCreateSymbolicLinkObject
Erzeugt einen Object-Manager-Symlink von einem Namen zu einem beliebigen NT-Zielstring.