← Retour à l'index ATT&CK
T1055.013sub-technique
Process Doppelgänging
Voir sur attack.mitre.org →6 syscalls implémentent cette technique
- NtCreateSection
Crée un objet section adossé à un fichier ou au pagefile système pour le mappage mémoire partagée.
- NtMapViewOfSection
Mappe une vue d'un objet section dans l'espace d'adressage virtuel d'un processus cible.
- NtCreateTransaction
Crée un nouvel objet de transaction KTM (Kernel Transaction Manager) pour encapsuler atomiquement des opérations NTFS.
- NtOpenTransaction
Ouvre un objet de transaction KTM existant par nom ou par GUID d'unité de travail.
- NtCommitTransaction
Valide une transaction KTM, persistant atomiquement sur disque toutes les modifications réalisées sous celle-ci.
- NtRollbackTransaction
Annule une transaction KTM en rejetant toutes les modifications réalisées sous celle-ci.