Cobalt Strike (Sleep Mask Kit)

Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.

3 Syscalls erwähnt

NtGetWriteWatch
Liefert die seit dem letzten Reset beschriebenen Seiten einer MEM_WRITE_WATCH-Region.
NtContinue
Stellt einen CPU-CONTEXT im aktuellen Thread wieder her und setzt die Ausführung an CONTEXT.Rip fort.
NtDelayExecution
Suspendiert den aufrufenden Thread für ein angegebenes Intervall, optional im Alertable-Zustand.