Qakbot

Reserviert, committet oder beides eine virtuelle Speicherregion in einem Zielprozess.

Ändert den Schutz eines committeten virtuellen Speicherbereichs in einem Zielprozess.

Schreibt einen Puffer des Aufrufers in den virtuellen Adressraum eines Zielprozesses.

Liest Bytes aus dem virtuellen Adressraum eines Zielprozesses in einen vom Aufrufer bereitgestellten Puffer.

Öffnet ein Handle auf einen existierenden Prozess mit einer angeforderten Zugriffsmaske.

Reiht einen Usermode-APC (Asynchronous Procedure Call) in die Queue eines Zielthreads ein.

Erzeugt einen neuen User-Mode-Prozess und dessen initialen Thread aus einem Executable-Image.

Verringert den Suspend-Count eines Threads; bei Wert null wird die Ausführung fortgesetzt.

Schreibt eine Token-Eigenschaft — Integritätslevel, Session-ID, Owner, Standard-DACL, Audit-Policy, Linked-Token.

Liest eine Informationsklasse über einen Prozess aus — universelles Back-End von GetProcessInformation und Arbeitspferd vieler Anti-Debug-Checks.

Liest eine Thread-Eigenschaft über die THREADINFOCLASS-Enumeration — TEB-Pointer, Hide-from-Debugger-Flag, Zeiten, Exit-Status.

Setzt eine Thread-Eigenschaft über die THREADINFOCLASS-Enumeration — bekannt durch ThreadHideFromDebugger.

Liefert den nullbasierten Index des logischen Prozessors, auf dem der aufrufende Thread gerade läuft.

Wartet, bis ein Dispatcher-Objekt signalisiert wird oder das optionale Timeout abläuft.

Erzeugt oder öffnet ein benanntes oder unbenanntes Mutant-(Mutex-)Objekt und übernimmt optional die initiale Eigentümerschaft.

Erstellt oder öffnet einen Registrierungsschlüssel — die Kernel-Primitive hinter jeder Registry-basierten Persistenz.

Schreibt einen benannten Wert in einen offenen Registrierungsschlüssel — Arbeitspferd für Run- und IFEO-Persistenz.

Schließt ein Kernel-Objekt-Handle (Datei, Schlüssel, Event, Prozess, Thread, Section usw.).

Erstellt oder öffnet eine Datei, ein Verzeichnis, ein Gerät oder eine benannte Pipe — der erste Disk-Aufruf jedes Droppers.