IcedID

Reserviert, committet oder beides eine virtuelle Speicherregion in einem Zielprozess.

Reserviert oder committet virtuellen Speicher mit erweiterten Parametern (bevorzugter NUMA-Knoten, CFG, Adressanforderungen).

Ändert den Schutz eines committeten virtuellen Speicherbereichs in einem Zielprozess.

Schreibt einen Puffer des Aufrufers in den virtuellen Adressraum eines Zielprozesses.

Decommitet oder gibt eine virtuelle Speicherregion in einem Zielprozess frei.

Erzeugt ein Section-Objekt, gestützt durch eine Datei oder das System-Pagefile, für Shared-Memory-Mapping.

Bildet eine View eines Section-Objekts in den virtuellen Adressraum eines Zielprozesses ab.

Reiht einen Usermode-APC (Asynchronous Procedure Call) in die Queue eines Zielthreads ein.

Erzeugt einen neuen User-Mode-Prozess und dessen initialen Thread aus einem Executable-Image.

Liest eine Informationsklasse über einen Prozess aus — universelles Back-End von GetProcessInformation und Arbeitspferd vieler Anti-Debug-Checks.

Liefert den nullbasierten Index des logischen Prozessors, auf dem der aufrufende Thread gerade läuft.

Wartet auf bis zu MAXIMUM_WAIT_OBJECTS Dispatcher-Objekte mit WaitAny- oder WaitAll-Semantik.

Erzeugt oder öffnet ein benanntes oder unbenanntes Mutant-(Mutex-)Objekt und übernimmt optional die initiale Eigentümerschaft.

Liefert die aktuelle Systemzeit als 64-Bit-Zähler in 100-ns-Intervallen seit 1601-01-01 UTC.

Schließt ein Kernel-Objekt-Handle (Datei, Schlüssel, Event, Prozess, Thread, Section usw.).

Erstellt oder öffnet eine Datei, ein Verzeichnis, ein Gerät oder eine benannte Pipe — der erste Disk-Aufruf jedes Droppers.