Process Discovery
Voir sur attack.mitre.org →10 syscalls implémentent cette technique
- NtReadVirtualMemory
Lit des octets de l'espace d'adressage virtuel d'un processus cible vers un tampon fourni par l'appelant.
- NtQueryVirtualMemory
Récupère des informations sur les pages de l'espace d'adressage virtuel d'un processus cible.
- NtOpenProcess
Ouvre un handle vers un processus existant avec un masque d'accès demandé.
- NtGetNextProcess
Parcourt la liste des processus du noyau et retourne un handle vers le processus suivant.
- NtOpenThread
Ouvre un handle vers un thread existant identifié par CLIENT_ID avec les droits d'accès demandés.
- NtGetNextThread
Retourne un handle vers le thread suivant d'un processus cible en parcourant la liste de threads du noyau.
- NtQueryInformationProcess
Récupère une classe d'informations sur un processus — back-end universel de GetProcessInformation et cheval de bataille des vérifications anti-debug.
- NtQueryInformationThread
Lit une propriété d'un thread via l'énumération THREADINFOCLASS — pointeur TEB, flag hide-from-debugger, temps, statut de sortie.
- NtQuerySystemInformation
Récupère une classe d'informations à l'échelle du système — liste des processus, table des handles noyau, liste des pilotes chargés, état d'intégrité du code, et plus.
- NtAlpcQueryInformation
Interroge les métadonnées d'un port ALPC — processus propriétaire, statistiques de message, SID serveur, attributs de port.