Process Hollowing
Voir sur attack.mitre.org →11 syscalls implémentent cette technique
- NtWriteVirtualMemory
Écrit un tampon de l'appelant dans l'espace d'adressage virtuel d'un processus cible.
- NtCreateSection
Crée un objet section adossé à un fichier ou au pagefile système pour le mappage mémoire partagée.
- NtMapViewOfSection
Mappe une vue d'un objet section dans l'espace d'adressage virtuel d'un processus cible.
- NtMapViewOfSectionEx
Syscall étendu de mapping de section (Windows 10 1809+) qui accepte des contraintes MEM_EXTENDED_PARAMETER.
- NtUnmapViewOfSection
Démappe une vue de section précédemment mappée de l'espace d'adressage d'un processus.
- NtCreateThreadEx
Crée un nouveau thread dans un processus cible, éventuellement suspendu, avec support des listes d'attributs.
- NtCreateProcess
Création de processus NT historique à partir d'un objet section préconstruit — prédécesseur de NtCreateProcessEx et NtCreateUserProcess.
- NtCreateProcessEx
Crée un nouveau processus à partir d'un handle de section sans exécuter l'initialisation ntdll — brique du process hollowing.
- NtResumeProcess
Décrémente le compteur de suspension de chaque thread d'un processus cible et relance ceux qui atteignent zéro.
- NtResumeThread
Décrémente le compteur de suspension d'un thread, reprenant l'exécution lorsque le compteur atteint zéro.
- NtCommitTransaction
Valide une transaction KTM, persistant atomiquement sur disque toutes les modifications réalisées sous celle-ci.