Cobalt Strike

Reserva, confirma o ambas en una región de memoria virtual de un proceso objetivo.

Reserva o confirma memoria virtual con parámetros extendidos (nodo NUMA preferido, CFG, requisitos de dirección).

Cambia la protección de una región de memoria virtual confirmada en un proceso objetivo.

Escribe un búfer del invocador en el espacio de direcciones virtuales de un proceso objetivo.

Lee bytes del espacio de direcciones virtuales de un proceso objetivo hacia un búfer del invocador.

Descommitea o libera una región de memoria virtual en un proceso objetivo.

Obtiene información sobre las páginas del espacio de direcciones virtuales de un proceso objetivo.

Abre un handle a un proceso existente con una máscara de acceso solicitada.

Crea un objeto sección respaldado por un archivo o el pagefile del sistema para mapeo de memoria compartida.

Mapea una vista de un objeto sección en el espacio de direcciones virtuales de un proceso objetivo.

Crea un nuevo hilo en un proceso objetivo, opcionalmente suspendido, con soporte de listas de atributos.

Encola una llamada a procedimiento asíncrono (APC) en modo usuario para un hilo objetivo.

Encola un APC de usuario a un hilo con objeto reserva opcional o flag special-user-APC para entrega forzada.

Crea un nuevo proceso en modo usuario y su hilo inicial a partir de una imagen ejecutable.

Termina un proceso objetivo y todos sus hilos con un código de salida dado.

Suspende todos los hilos de un proceso objetivo incrementando el contador de suspensión de cada hilo.

Decrementa el contador de suspensión de cada hilo de un proceso objetivo y reanuda los que llegan a cero.

Abre un handle a un hilo existente identificado por CLIENT_ID con los derechos de acceso solicitados.

Incrementa el contador de suspensión de un hilo objetivo, deteniendo su ejecución.

Decrementa el contador de suspensión de un hilo, reanudando la ejecución cuando llega a cero.

Termina el hilo especificado con el código de salida indicado. Un handle NULL termina el hilo actual.

Recupera el contexto de registros de la CPU (estructura CONTEXT) de un hilo suspendido.

Establece el contexto de registros de la CPU de un hilo — primitiva del kernel detrás del secuestro de hilo y la redirección de shellcode.

Abre el token de acceso de un proceso permitiendo al llamante especificar atributos de handle como OBJ_INHERIT.

Habilita o deshabilita privilegios en un token de acceso especificado.

Recupera una clase de información especificada sobre un token de acceso.

Escribe una propiedad de un token de acceso — nivel de integridad, session id, owner, DACL por defecto, política de auditoría, token enlazado.

Crea un nuevo token de acceso que duplica un token existente, opcionalmente cambiando su tipo y nivel de impersonación.

Hace que el hilo servidor impersone el contexto de seguridad del hilo cliente.

Recupera una clase de información sobre un proceso — el back-end universal de GetProcessInformation y caballo de batalla de comprobaciones anti-debug.

Modifica una clase de estado a nivel de proceso — auto-limpieza anti-debug, registro de rangos CET, instalación de políticas ACG/CIG, callbacks de instrumentación.

Establece una propiedad de un hilo mediante la enumeración THREADINFOCLASS — célebremente ThreadHideFromDebugger.

Recupera una clase de información a nivel sistema — lista de procesos, tabla de handles del kernel, lista de drivers cargados, estado de integridad de código, y más.

IOCTL de control multiplexado del subsistema ETW — iniciar, detener, consultar, vaciar sesiones y activar/desactivar providers.

Abre un handle a un objeto de evento nombrado existente.

Espera hasta MAXIMUM_WAIT_OBJECTS objetos dispatcher con semántica WaitAny o WaitAll.

Devuelve la hora del sistema actual como un contador de intervalos de 100 ns desde 1601-01-01 UTC.

Cierra un handle de objeto del kernel (archivo, clave, evento, proceso, hilo, sección, etc.).

Duplica un handle desde un proceso origen a un proceso destino, ajustando opcionalmente el acceso o cerrando el origen.

Devuelve metadatos sobre un handle de objeto del kernel: información básica, nombre, tipo o tabla de tipos del sistema.

Establece atributos a nivel de handle (herencia, protección contra cierre) sobre un handle de objeto del kernel.

Abre un enlace simbólico existente del object manager por nombre, devolviendo un handle para consulta o eliminación posterior.