Process Hollowing

Escribe un búfer del invocador en el espacio de direcciones virtuales de un proceso objetivo.

Crea un objeto sección respaldado por un archivo o el pagefile del sistema para mapeo de memoria compartida.

Mapea una vista de un objeto sección en el espacio de direcciones virtuales de un proceso objetivo.

Syscall extendido de mapping de sección (Windows 10 1809+) que acepta restricciones MEM_EXTENDED_PARAMETER.

Desmapea una vista de sección previamente mapeada del espacio de direcciones de un proceso.

Crea un nuevo hilo en un proceso objetivo, opcionalmente suspendido, con soporte de listas de atributos.

Creación de proceso NT heredada desde un objeto section preconstruido — predecesor de NtCreateProcessEx y NtCreateUserProcess.

Crea un nuevo proceso a partir de un handle de sección sin ejecutar la inicialización ntdll — pieza clave del process hollowing.

Decrementa el contador de suspensión de cada hilo de un proceso objetivo y reanuda los que llegan a cero.

Decrementa el contador de suspensión de un hilo, reanudando la ejecución cuando llega a cero.

Confirma una transacción KTM, persistiendo atómicamente en disco todos los cambios realizados bajo ella.