Data Encrypted for Impact
Voir sur attack.mitre.org →7 syscalls implémentent cette technique
- NtWriteFile
Écrit des données dans un fichier, pipe ou périphérique ouvert — pendant noyau de NtCreateFile pour déposer un payload.
- NtSetInformationFile
Définit des métadonnées de fichier via FILE_INFORMATION_CLASS — renommer, supprimer, allouer, fin de fichier…
- NtLockFile
Acquiert un verrou sur une plage d'octets d'un fichier ouvert, optionnellement exclusif et optionnellement asynchrone.
- NtUnlockFile
Libère un verrou de plage d'octets précédemment acquis sur un fichier ouvert.
- NtNotifyChangeDirectoryFileEx
Notification étendue de changement de répertoire permettant de choisir la classe FILE_NOTIFY_INFORMATION retournée dans le buffer.
- NtQueryVolumeInformationFile
Récupère les propriétés filesystem et volume (label, taille, type de périphérique, attributs) du volume associé à un handle de fichier.
- NtSetVolumeInformationFile
Modifie les propriétés volume modifiables — principalement le label — du volume associé à un handle de fichier.