File and Directory Discovery
Ver en attack.mitre.org →9 syscalls implementan esta técnica
- NtQueryInformationByName
Consulta información de archivo por ruta sin un handle abierto, introducida en Windows 10 RS5.
- NtOpenFile
Abre un handle a un archivo o dispositivo existente — la contraparte ligera sin creación de NtCreateFile.
- NtQueryDirectoryFile
Enumera un directorio a nivel IRP — usado por rootkits para ocultar archivos manipulando la lista devuelta.
- NtNotifyChangeDirectoryFile
Registra una solicitud de notificación asíncrona para cambios del sistema de archivos en un directorio abierto.
- NtNotifyChangeDirectoryFileEx
Notificación extendida de cambios de directorio que permite elegir la clase FILE_NOTIFY_INFORMATION devuelta en el buffer.
- NtQueryVolumeInformationFile
Obtiene propiedades de filesystem y volumen (etiqueta, tamaño, tipo de dispositivo, atributos) del volumen asociado a un handle de archivo.
- NtOpenDirectoryObject
Abre un objeto directory existente en el espacio de nombres del object manager de Windows.
- NtQueryDirectoryObject
Enumera las entradas (nombre + tipo) dentro de un directory del object manager.
- NtOpenSymbolicLinkObject
Abre un enlace simbólico existente del object manager por nombre, devolviendo un handle para consulta o eliminación posterior.