File and Directory Discovery
Voir sur attack.mitre.org →9 syscalls implémentent cette technique
- NtQueryInformationByName
Interroge des informations de fichier par chemin sans handle ouvert, introduit dans Windows 10 RS5.
- NtOpenFile
Ouvre un handle vers un fichier ou un device existant — pendant léger sans création de NtCreateFile.
- NtQueryDirectoryFile
Énumère un répertoire au niveau IRP — utilisé par les rootkits pour cacher des fichiers en altérant la liste retournée.
- NtNotifyChangeDirectoryFile
Enregistre une demande de notification asynchrone des changements de fichiers dans un répertoire ouvert.
- NtNotifyChangeDirectoryFileEx
Notification étendue de changement de répertoire permettant de choisir la classe FILE_NOTIFY_INFORMATION retournée dans le buffer.
- NtQueryVolumeInformationFile
Récupère les propriétés filesystem et volume (label, taille, type de périphérique, attributs) du volume associé à un handle de fichier.
- NtOpenDirectoryObject
Ouvre un objet directory existant dans l'espace de noms de l'object manager Windows.
- NtQueryDirectoryObject
Énumère les entrées (nom + type) à l'intérieur d'un directory de l'object manager.
- NtOpenSymbolicLinkObject
Ouvre un lien symbolique de l'object manager existant par son nom, renvoyant un handle pour interrogation ou suppression.