← Volver al índice de malware
VMProtect-packed loaders
Las atribuciones se basan en informes públicos. Una familia listada significa que al menos una ficha de syscall la cita; su ausencia no implica que no la use.
5 syscalls citados
- NtQueryInformationThread
Lee una propiedad de un hilo mediante la enumeración THREADINFOCLASS — puntero TEB, flag hide-from-debugger, tiempos, estado de salida.
- NtSetInformationThread
Establece una propiedad de un hilo mediante la enumeración THREADINFOCLASS — célebremente ThreadHideFromDebugger.
- NtCreateDebugObject
Crea un DebugObject del kernel — el puerto por depurador que recibe eventos de los procesos enganchados.
- NtDebugActiveProcess
Engancha un DebugObject existente a un proceso en ejecución — la cara kernel de DebugActiveProcess.
- NtRemoveProcessDebug
Desengancha un DebugObject de un proceso — la cara kernel de DebugActiveProcessStop.