Process Injection

Reserva, confirma o ambas en una región de memoria virtual de un proceso objetivo.

Reserva o confirma memoria virtual con parámetros extendidos (nodo NUMA preferido, CFG, requisitos de dirección).

Cambia la protección de una región de memoria virtual confirmada en un proceso objetivo.

Escribe un búfer del invocador en el espacio de direcciones virtuales de un proceso objetivo.

Descommitea o libera una región de memoria virtual en un proceso objetivo.

Aplica una clase de información a una lista de rangos de memoria virtual: prefetch, prioridad de página u opt-in CFG.

Asigna páginas de memoria física para Address Windowing Extensions (AWE).

Mapea páginas físicas asignadas vía AWE en una ventana de direcciones virtuales previamente reservada.

Abre un handle a un proceso existente con una máscara de acceso solicitada.

Crea un objeto sección respaldado por un archivo o el pagefile del sistema para mapeo de memoria compartida.

Crea un objeto sección con parámetros extendidos (nodo NUMA, requisitos de dirección, páginas físicas de usuario).

Mapea una vista de un objeto sección en el espacio de direcciones virtuales de un proceso objetivo.

Desmapea una vista de sección previamente mapeada del espacio de direcciones de un proceso.

Syscall heredado de creación de hilos que requiere un INITIAL_TEB construido manualmente; sustituido por NtCreateThreadEx.

Crea un nuevo hilo en un proceso objetivo, opcionalmente suspendido, con soporte de listas de atributos.

Encola una llamada a procedimiento asíncrono (APC) en modo usuario para un hilo objetivo.

Encola un APC de usuario a un hilo con objeto reserva opcional o flag special-user-APC para entrega forzada.

Comprueba si el hilo llamante tiene una alerta pendiente y entrega, en su caso, las APC en cola en user-mode.

Pre-asigna un reserve object de kernel (APC o completion) para que operaciones futuras no fallen bajo presión de memoria.

Creación de proceso NT heredada desde un objeto section preconstruido — predecesor de NtCreateProcessEx y NtCreateUserProcess.

Crea un nuevo proceso en modo usuario y su hilo inicial a partir de una imagen ejecutable.

Suspende todos los hilos de un proceso objetivo incrementando el contador de suspensión de cada hilo.

Decrementa el contador de suspensión de cada hilo de un proceso objetivo y reanuda los que llegan a cero.

Decrementa el contador de suspensión de un hilo, reanudando la ejecución cuando llega a cero.

Reanuda un hilo suspendido y lo alerta a la vez para entregar cualquier APC pendiente.

Crea un objeto timer moderno de alta resolución que admite manual-reset y no-wake en una sola llamada.

Crea un puerto de finalización de E/S — la cola del kernel que sustenta la entrega de trabajo del threadpool, la notificación de E/S asíncrona y (en PoolParty) los items de trabajo inyectados.

Postea un paquete de finalización a un puerto de finalización de E/S — el lado del kernel de PostQueuedCompletionStatus y el vector de entrega de los items falsificados de PoolParty.

Cancela un wait-completion packet asociado previamente, eliminando el enlace al objeto dispatcher.

Enlaza un wait-completion packet a un dispatcher object para que su señal postee una entrada en un IOCP.

Crea un objeto worker factory del kernel — la primitiva de threadpool que la inyección PoolParty abusa para ejecutar shellcode sin NtCreateThreadEx.

Indica a una worker factory que deje de crear hilos e informa cuántos workers siguen pendientes.

Establece una clase de configuración en una worker factory — incluyendo, en algunas variantes de PoolParty, la StartRoutine que ejecutarán los hilos de trabajo.

Consulta la configuración y el estado de ejecución de una worker factory, incluyendo la StartRoutine actual y los recuentos de workers.

Solicita al kernel hacer disponible al menos un worker en la factory — usado por el threadpool en modo usuario para despertar el pool al enviar trabajo.

Bloquea un worker de threadpool hasta que haya un item disponible en la cola de finalización de la factory — el bucle caliente secuestrado por PoolParty.

Añade (o incrementa el refcount) una cadena en la tabla de átomos global del kernel y devuelve su ID de 16 bits.

Busca un átomo global existente por nombre y devuelve su ID de 16 bits sin incrementar el refcount.

Decrementa el contador de referencias de un átomo global y lo elimina cuando el contador llega a cero.

Devuelve metadatos sobre un átomo individual o sobre toda la tabla global de átomos — nombre, refcount, pin count, contadores de uso.