MosaicRegressor / LoJax (APT28)
Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.
5 Syscalls erwähnt
- NtAddBootEntry
Registriert einen neuen BOOT_ENTRY in der Boot-Konfigurationsdatenbank (BCD) und liefert die zugewiesene ID zurück.
- NtAddDriverEntry
Registriert einen neuen EFI_DRIVER_ENTRY in der Firmware, damit die UEFI-Umgebung einen Treiber vor dem Betriebssystem lädt.
- NtModifyDriverEntry
Überschreibt einen vorhandenen EFI_DRIVER_ENTRY anhand seiner ID und schreibt die UEFI-Driver####-NVRAM-Variable an Ort und Stelle neu.
- NtDeleteDriverEntry
Entfernt einen registrierten EFI_DRIVER_ENTRY anhand der ID und löscht die zugehörige UEFI-Driver####-NVRAM-Variable.
- NtEnumerateDriverEntries
Liefert eine gepackte Liste aller registrierten EFI_DRIVER_ENTRYs — die UEFI-Driver####-Variablen, die vor dem Boot-Manager dispatcht werden.