TrickBot
Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.
13 Syscalls erwähnt
- NtAllocateVirtualMemory
Reserviert, committet oder beides eine virtuelle Speicherregion in einem Zielprozess.
- NtCreateThreadEx
Erzeugt einen neuen Thread in einem Zielprozess, optional suspendiert, mit Unterstützung von Attribute-Listen.
- NtResumeThread
Verringert den Suspend-Count eines Threads; bei Wert null wird die Ausführung fortgesetzt.
- NtCreateEvent
Erzeugt ein benanntes oder unbenanntes Event-Synchronisationsobjekt und liefert ein Handle.
- NtOpenEvent
Öffnet ein Handle auf ein bestehendes benanntes Event-Objekt.
- NtCreateMutant
Erzeugt oder öffnet ein benanntes oder unbenanntes Mutant-(Mutex-)Objekt und übernimmt optional die initiale Eigentümerschaft.
- NtQueryInformationJobObject
Liefert Accounting-, Limit- oder UI-Restriktions-Informationen eines Job-Objekts.
- NtCreateKey
Erstellt oder öffnet einen Registrierungsschlüssel — die Kernel-Primitive hinter jeder Registry-basierten Persistenz.
- NtOpenKey
Öffnet einen bestehenden Registrierungsschlüssel — Kernel-Einstieg hinter RegOpenKeyEx, genutzt für SAM-, SECURITY- und Persistenz-Hives.
- NtSetValueKey
Schreibt einen benannten Wert in einen offenen Registrierungsschlüssel — Arbeitspferd für Run- und IFEO-Persistenz.
- NtCreateFile
Erstellt oder öffnet eine Datei, ein Verzeichnis, ein Gerät oder eine benannte Pipe — der erste Disk-Aufruf jedes Droppers.
- NtOpenDirectoryObject
Öffnet ein vorhandenes Directory-Objekt im Namensraum des Windows Object Managers.
- NtQueryDirectoryObject
Enumeriert die Einträge (Name + Typ) innerhalb eines Object-Manager-Verzeichnisses.