Dridex (2017 wave)

Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.

4 Syscalls erwähnt

NtAddAtom
Fügt eine Zeichenkette in die globale Kernel-Atomtabelle ein (oder erhöht den Refcount) und liefert deren 16-Bit-Atom-ID.
NtFindAtom
Sucht ein vorhandenes globales Atom über seinen Namen und liefert dessen 16-Bit-ID, ohne den Refcount zu erhöhen.
NtDeleteAtom
Dekrementiert den Referenzzähler eines globalen Atoms und entfernt es bei Erreichen von Null.
NtQueryInformationAtom
Liefert Metadaten zu einem einzelnen Atom oder zur gesamten globalen Atom-Tabelle — Name, Refcount, Pin-Count, Nutzungszähler.