ScareCrow
Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.
6 Syscalls erwähnt
- NtOpenThread
Öffnet ein Handle auf einen vorhandenen Thread, identifiziert per CLIENT_ID, mit den gewünschten Zugriffsrechten.
- NtSuspendThread
Erhöht den Suspend-Zähler eines Ziel-Threads und hält dessen Ausführung an.
- NtTerminateThread
Beendet den angegebenen Thread mit dem übergebenen Exit-Status. NULL-Handle beendet den aktuellen Thread.
- NtGetContextThread
Liest den CPU-Registerkontext (CONTEXT-Struktur) eines suspendierten Threads aus.
- NtSetContextThread
Setzt den CPU-Registerkontext eines Threads — die Kernel-Primitive hinter Thread-Hijacking und Shellcode-Umleitung.
- NtSetInformationProcess
Verändert eine Klasse von Prozesszustand — Anti-Debug-Selbstbereinigung, CET-Range-Registrierung, ACG/CIG-Policy-Installation, Instrumentation-Callbacks.