Impair Defenses: Disable or Modify Tools

Obtiene información sobre las páginas del espacio de direcciones virtuales de un proceso objetivo.

Recupera metadatos básicos o específicos de imagen de un section object.

Determina si dos vistas mapeadas están respaldadas por el mismo fichero (prueba de identidad de file object).

Crea un nuevo proceso en modo usuario y su hilo inicial a partir de una imagen ejecutable.

Termina un proceso objetivo y todos sus hilos con un código de salida dado.

Suspende todos los hilos de un proceso objetivo incrementando el contador de suspensión de cada hilo.

Termina el hilo especificado con el código de salida indicado. Un handle NULL termina el hilo actual.

Modifica una clase de estado a nivel de proceso — auto-limpieza anti-debug, registro de rangos CET, instalación de políticas ACG/CIG, callbacks de instrumentación.

Setter genérico del kernel seleccionado por SYSTEM_INFORMATION_CLASS — puerta a SystemDebugControl, carga de drivers GDI y más.

Termina atómicamente cada proceso actualmente asignado a un job object.

Cancela toda solicitud de E/S pendiente emitida por el hilo llamador sobre un handle de archivo.

Cancela una solicitud de E/S específica pendiente sobre un archivo, sin importar qué hilo la emitió.

Cancela una llamada de E/S síncrona que está bloqueando actualmente a otro hilo.

Bloquea temporalmente todas las escrituras de registro del sistema, usado por VSS para snapshots consistentes.

Libera un congelamiento previo del registro para que se reanuden las escrituras; contraparte de NtFreezeRegistry.

Envía un IOCTL a un driver del kernel — entrada en modo usuario para todo abuso de primitivas BYOVD.

Carga un driver en modo kernel desde una entrada de servicio descrita en el registro — entrada BYOVD.

Descarga un driver en modo kernel previamente cargado — la primitiva de limpieza BYOVD.