TrickBot

Reserva, confirma o ambas en una región de memoria virtual de un proceso objetivo.

Crea un nuevo hilo en un proceso objetivo, opcionalmente suspendido, con soporte de listas de atributos.

Decrementa el contador de suspensión de un hilo, reanudando la ejecución cuando llega a cero.

Crea un objeto de evento de sincronización, con o sin nombre, y devuelve un handle.

Abre un handle a un objeto de evento nombrado existente.

Crea o abre un objeto mutant (mutex) con o sin nombre y opcionalmente toma la propiedad inicial.

Recupera información de contabilidad, límites o restricciones de UI de un job object.

Crea o abre una clave del registro — la primitiva del kernel detrás de toda persistencia registrada.

Abre una clave de registro existente — entrada del kernel detrás de RegOpenKeyEx, usada para alcanzar las hives SAM, SECURITY y de persistencia.

Escribe un valor nombrado en una clave de registro abierta — pilar de las persistencias Run y IFEO.

Crea o abre un archivo, directorio, dispositivo o canal con nombre — primera llamada a disco de todo dropper.

Abre un objeto directory existente en el espacio de nombres del object manager de Windows.

Enumera las entradas (nombre + tipo) dentro de un directory del object manager.