Qakbot

Reserva, confirma o ambas en una región de memoria virtual de un proceso objetivo.

Cambia la protección de una región de memoria virtual confirmada en un proceso objetivo.

Escribe un búfer del invocador en el espacio de direcciones virtuales de un proceso objetivo.

Lee bytes del espacio de direcciones virtuales de un proceso objetivo hacia un búfer del invocador.

Abre un handle a un proceso existente con una máscara de acceso solicitada.

Encola una llamada a procedimiento asíncrono (APC) en modo usuario para un hilo objetivo.

Crea un nuevo proceso en modo usuario y su hilo inicial a partir de una imagen ejecutable.

Decrementa el contador de suspensión de un hilo, reanudando la ejecución cuando llega a cero.

Escribe una propiedad de un token de acceso — nivel de integridad, session id, owner, DACL por defecto, política de auditoría, token enlazado.

Recupera una clase de información sobre un proceso — el back-end universal de GetProcessInformation y caballo de batalla de comprobaciones anti-debug.

Lee una propiedad de un hilo mediante la enumeración THREADINFOCLASS — puntero TEB, flag hide-from-debugger, tiempos, estado de salida.

Establece una propiedad de un hilo mediante la enumeración THREADINFOCLASS — célebremente ThreadHideFromDebugger.

Devuelve el índice zero-based del procesador lógico en el que el hilo llamante se está ejecutando actualmente.

Espera hasta que un objeto dispatcher se señale o expire el timeout opcional.

Crea o abre un objeto mutant (mutex) con o sin nombre y opcionalmente toma la propiedad inicial.

Crea o abre una clave del registro — la primitiva del kernel detrás de toda persistencia registrada.

Escribe un valor nombrado en una clave de registro abierta — pilar de las persistencias Run y IFEO.

Cierra un handle de objeto del kernel (archivo, clave, evento, proceso, hilo, sección, etc.).

Crea o abre un archivo, directorio, dispositivo o canal con nombre — primera llamada a disco de todo dropper.