LockBit
Las atribuciones se basan en informes públicos. Una familia listada significa que al menos una ficha de syscall la cita; su ausencia no implica que no la use.
8 syscalls citados
- NtTerminateProcess
Termina un proceso objetivo y todos sus hilos con un código de salida dado.
- NtSuspendProcess
Suspende todos los hilos de un proceso objetivo incrementando el contador de suspensión de cada hilo.
- NtResumeProcess
Decrementa el contador de suspensión de cada hilo de un proceso objetivo y reanuda los que llegan a cero.
- NtRaiseHardError
Genera un 'hard error' que el kernel enruta a CSRSS para mostrar — o, con SeShutdownPrivilege y severidad FATAL, dispara un bugcheck inmediato (BSOD).
- NtCreateFile
Crea o abre un archivo, directorio, dispositivo o canal con nombre — primera llamada a disco de todo dropper.
- NtWriteFile
Escribe datos en un archivo, canal o dispositivo abierto — pareja kernel de NtCreateFile para soltar payloads.
- NtSetInformationFile
Establece metadatos de archivo vía FILE_INFORMATION_CLASS — renombrar, eliminar, asignar, fin de archivo…
- NtDuplicateObject
Duplica un handle desde un proceso origen a un proceso destino, ajustando opcionalmente el acceso o cerrando el origen.