ScareCrow loader

Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.

3 Syscalls erwähnt

NtFlushInstructionCache
Invalidiert den Instruction-Cache für eine Region in einem Zielprozess, damit frisch geschriebener Code ausgeführt werden kann.
NtMapViewOfSectionEx
Erweiterter Section-Mapping-Syscall (ab Windows 10 1809), der MEM_EXTENDED_PARAMETER-Vorgaben akzeptiert.
NtAreMappedFilesTheSame
Prüft, ob zwei gemappte Views durch dieselbe Datei gestützt werden (Identitätstest des File-Objekts).