← Volver al índice ATT&CK
T1055.003sub-technique
Thread Execution Hijacking
Ver en attack.mitre.org →6 syscalls implementan esta técnica
- NtOpenThread
Abre un handle a un hilo existente identificado por CLIENT_ID con los derechos de acceso solicitados.
- NtSuspendThread
Incrementa el contador de suspensión de un hilo objetivo, deteniendo su ejecución.
- NtTerminateThread
Termina el hilo especificado con el código de salida indicado. Un handle NULL termina el hilo actual.
- NtGetContextThread
Recupera el contexto de registros de la CPU (estructura CONTEXT) de un hilo suspendido.
- NtSetContextThread
Establece el contexto de registros de la CPU de un hilo — primitiva del kernel detrás del secuestro de hilo y la redirección de shellcode.
- NtGetNextThread
Devuelve un handle al siguiente hilo dentro de un proceso recorriendo la lista de hilos del kernel.