BruteRatel
Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.
6 Syscalls erwähnt
- NtAllocateVirtualMemoryEx
Reserviert oder committet virtuellen Speicher mit erweiterten Parametern (bevorzugter NUMA-Knoten, CFG, Adressanforderungen).
- NtFreeVirtualMemory
Decommitet oder gibt eine virtuelle Speicherregion in einem Zielprozess frei.
- NtQueryVirtualMemory
Liefert Informationen über Seiten im virtuellen Adressraum eines Zielprozesses.
- NtCreateUserProcess
Erzeugt einen neuen User-Mode-Prozess und dessen initialen Thread aus einem Executable-Image.
- NtSuspendProcess
Suspendiert alle Threads eines Zielprozesses, indem der Suspend-Zähler jedes Threads erhöht wird.
- NtResumeProcess
Verringert den Suspend-Zähler jedes Threads in einem Zielprozess und setzt diejenigen fort, die null erreichen.