Obfuscated Files or Information
Ver en attack.mitre.org →13 syscalls implementan esta técnica
- NtFlushVirtualMemory
Vacía a disco las páginas modificadas de una vista respaldada por fichero, equivalente a FlushViewOfFile.
- NtLockVirtualMemory
Fija una región de memoria virtual en el working set del proceso para que sus páginas no sean paginadas.
- NtUnlockVirtualMemory
Libera un bloqueo de working set previamente tomado por NtLockVirtualMemory.
- NtMapUserPhysicalPages
Mapea páginas físicas asignadas vía AWE en una ventana de direcciones virtuales previamente reservada.
- NtAlertThreadByThreadId
Despierta un único hilo (identificado por su TID) parado en NtWaitForAlertByThreadId — la cara kernel de WakeByAddressSingle.
- NtWaitForAlertByThreadId
Aparca el hilo llamante hasta que NtAlertThreadByThreadId lo despierte — la cara kernel de WaitOnAddress.
- NtClearEvent
Lleva un objeto evento al estado no señalado sin devolver el estado anterior.
- NtSignalAndWaitForSingleObject
Señaliza atómicamente un objeto dispatcher y espera sobre otro en una única transición libre de carrera.
- NtWaitForKeyedEvent
Bloquea el hilo llamante en un keyed event hasta que otro hilo libere el mismo par (event, clave).
- NtReleaseKeyedEvent
Despierta exactamente un hilo en espera del mismo par (keyed event, clave), bloqueando si aún no hay waiter presente.
- NtCancelTimer
Cancela un armado NtSetTimer pendiente e informa si el timer seguía activo al cancelar.
- NtCreateTransaction
Crea un nuevo objeto de transacción KTM (Kernel Transaction Manager) para envolver operaciones NTFS de forma atómica.
- NtRollbackTransaction
Revierte una transacción KTM descartando todos los cambios realizados bajo ella.