JuicyPotato / RoguePotato (tooling)

Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.

3 Syscalls erwähnt

NtOpenProcessTokenEx
Öffnet das Zugriffstoken eines Prozesses und erlaubt dem Aufrufer, Handle-Attribute wie OBJ_INHERIT anzugeben.
NtDuplicateToken
Erzeugt ein neues Zugriffstoken, das ein vorhandenes Token dupliziert und dabei optional Typ und Impersonations-Level ändert.
NtImpersonateThread
Lässt den Server-Thread den Sicherheitskontext des Client-Threads impersonieren.