FinFisher
Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.
9 Syscalls erwähnt
- NtSetInformationToken
Schreibt eine Token-Eigenschaft — Integritätslevel, Session-ID, Owner, Standard-DACL, Audit-Policy, Linked-Token.
- NtSetInformationThread
Setzt eine Thread-Eigenschaft über die THREADINFOCLASS-Enumeration — bekannt durch ThreadHideFromDebugger.
- NtDebugActiveProcess
Hängt ein vorhandenes DebugObject an einen laufenden Prozess an — die Kernel-Seite von DebugActiveProcess.
- NtQueryObject
Liefert Metadaten zu einem Kernel-Objekt-Handle: Basisinfo, Name, Typ oder systemweite Typtabelle.
- NtSetInformationObject
Setzt Handle-Attribute (Vererbung, Schutz vor Schließung) auf einem Kernel-Objekt-Handle.
- NtAddAtom
Fügt eine Zeichenkette in die globale Kernel-Atomtabelle ein (oder erhöht den Refcount) und liefert deren 16-Bit-Atom-ID.
- NtFindAtom
Sucht ein vorhandenes globales Atom über seinen Namen und liefert dessen 16-Bit-ID, ohne den Refcount zu erhöhen.
- NtDeleteAtom
Dekrementiert den Referenzzähler eines globalen Atoms und entfernt es bei Erreichen von Null.
- NtQueryInformationAtom
Liefert Metadaten zu einem einzelnen Atom oder zur gesamten globalen Atom-Tabelle — Name, Refcount, Pin-Count, Nutzungszähler.