Emotet
Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.
13 Syscalls erwähnt
- NtAllocateVirtualMemory
Reserviert, committet oder beides eine virtuelle Speicherregion in einem Zielprozess.
- NtCreateThreadEx
Erzeugt einen neuen Thread in einem Zielprozess, optional suspendiert, mit Unterstützung von Attribute-Listen.
- NtResumeThread
Verringert den Suspend-Count eines Threads; bei Wert null wird die Ausführung fortgesetzt.
- NtGetCurrentProcessorNumber
Liefert den nullbasierten Index des logischen Prozessors, auf dem der aufrufende Thread gerade läuft.
- NtCreateEvent
Erzeugt ein benanntes oder unbenanntes Event-Synchronisationsobjekt und liefert ein Handle.
- NtOpenEvent
Öffnet ein Handle auf ein bestehendes benanntes Event-Objekt.
- NtSetEvent
Setzt ein Event-Objekt in den signalisierten Zustand und gibt wartende Threads frei.
- NtCreateMutant
Erzeugt oder öffnet ein benanntes oder unbenanntes Mutant-(Mutex-)Objekt und übernimmt optional die initiale Eigentümerschaft.
- NtQuerySystemTime
Liefert die aktuelle Systemzeit als 64-Bit-Zähler in 100-ns-Intervallen seit 1601-01-01 UTC.
- NtCreateKey
Erstellt oder öffnet einen Registrierungsschlüssel — die Kernel-Primitive hinter jeder Registry-basierten Persistenz.
- NtSetValueKey
Schreibt einen benannten Wert in einen offenen Registrierungsschlüssel — Arbeitspferd für Run- und IFEO-Persistenz.
- NtCreateFile
Erstellt oder öffnet eine Datei, ein Verzeichnis, ein Gerät oder eine benannte Pipe — der erste Disk-Aufruf jedes Droppers.
- NtQueryDirectoryObject
Enumeriert die Einträge (Name + Typ) innerhalb eines Object-Manager-Verzeichnisses.