LockBit
Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.
8 Syscalls erwähnt
- NtTerminateProcess
Beendet einen Zielprozess samt aller Threads mit einem angegebenen Exit-Status.
- NtSuspendProcess
Suspendiert alle Threads eines Zielprozesses, indem der Suspend-Zähler jedes Threads erhöht wird.
- NtResumeProcess
Verringert den Suspend-Zähler jedes Threads in einem Zielprozess und setzt diejenigen fort, die null erreichen.
- NtRaiseHardError
Löst einen „Hard Error“ aus, den der Kernel an CSRSS zur UI-Anzeige weiterreicht — oder mit SeShutdownPrivilege und FATAL-Severity einen sofortigen Bugcheck (BSOD) auslöst.
- NtCreateFile
Erstellt oder öffnet eine Datei, ein Verzeichnis, ein Gerät oder eine benannte Pipe — der erste Disk-Aufruf jedes Droppers.
- NtWriteFile
Schreibt Daten in eine offene Datei, Pipe oder ein Gerät — Kernel-Pendant zu NtCreateFile fürs Ablegen von Payloads.
- NtSetInformationFile
Setzt Dateimetadaten über FILE_INFORMATION_CLASS — Umbenennen, Löschen, Allokieren, EOF usw.
- NtDuplicateObject
Dupliziert ein Handle aus einem Quellprozess in einen Zielprozess, optional mit Anpassung der Zugriffsrechte oder Schließung der Quelle.