Cobalt Strike Sleep_Mask UDRL

Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.

3 Syscalls erwähnt

NtLockVirtualMemory
Verankert eine virtuelle Speicherregion im Working Set des Prozesses, sodass deren Seiten nicht ausgelagert werden.
NtUnlockVirtualMemory
Hebt eine zuvor von NtLockVirtualMemory gesetzte Working-Set-Sperre auf.
NtSignalAndWaitForSingleObject
Signalisiert atomar ein Dispatcher-Objekt und wartet auf ein anderes in einem einzigen, race-freien Übergang.