Obfuscated Files or Information: Fileless Storage
Voir sur attack.mitre.org →16 syscalls implémentent cette technique
- NtLockVirtualMemory
Verrouille une région de mémoire virtuelle dans le working set du processus pour qu'aucune page ne soit paginée.
- NtUnlockVirtualMemory
Libère un verrou de working set préalablement posé par NtLockVirtualMemory.
- NtGetWriteWatch
Récupère l'ensemble des pages écrites dans une région MEM_WRITE_WATCH depuis la dernière réinitialisation.
- NtResetWriteWatch
Efface l'état de suivi d'écriture d'une région MEM_WRITE_WATCH sans récupérer les pages sales.
- NtContinue
Restaure un CONTEXT CPU sur le thread courant et reprend l'exécution à CONTEXT.Rip.
- NtCreateEvent
Crée un objet d'événement de synchronisation, nommé ou non, et renvoie un handle.
- NtSetEvent
Place un objet événement à l'état signalé, libérant les threads en attente.
- NtSignalAndWaitForSingleObject
Signale atomiquement un objet dispatcher et attend sur un autre en une transition unique sans course.
- NtCreateTimer
Crée un objet timer noyau qui pourra ensuite être armé via NtSetTimer.
- NtSetTimer
Arme un objet timer avec une due time, une période optionnelle et une routine APC optionnelle déclenchée à l'expiration.
- NtCreateTimer2
Crée un objet timer moderne haute résolution prenant en charge manual-reset et no-wake en un seul appel.
- NtSetTimer2
Arme un objet Timer2 avec un délai, une période optionnelle et un bloc T2_SET_PARAMETERS décrivant callback et flags.
- NtCancelTimer2
Annule un objet Timer2 précédemment armé et indique s'il était encore en attente.
- NtDelayExecution
Suspend le thread appelant pendant un intervalle donné, éventuellement en état alertable.
- NtRemoveIoCompletion
Défile un seul paquet de complétion d'un port de complétion d'E/S, bloquant jusqu'à disponibilité ou expiration du timeout.
- NtWaitForWorkViaWorkerFactory
Bloque un worker de threadpool jusqu'à ce qu'un item soit disponible sur la file de complétion de la factory — la boucle chaude détournée par PoolParty.