Impair Defenses: Disable or Modify Tools

Récupère des informations sur les pages de l'espace d'adressage virtuel d'un processus cible.

Récupère des métadonnées de base ou spécifiques à l'image d'un section object.

Détermine si deux vues mappées sont adossées au même fichier (test d'identité du file object).

Crée un nouveau processus en mode utilisateur et son thread initial à partir d'une image exécutable.

Termine un processus cible et tous ses threads avec un code de sortie donné.

Suspend tous les threads d'un processus cible en incrémentant le compteur de suspension de chacun.

Termine le thread spécifié avec le code de sortie fourni. Un handle NULL termine le thread courant.

Modifie une classe d'état au niveau processus — auto-nettoyage anti-debug, enregistrement de plages CET, installation de politiques ACG/CIG, callbacks d'instrumentation.

Setter noyau générique sélectionné par SYSTEM_INFORMATION_CLASS — porte d'entrée pour SystemDebugControl, chargement de pilotes GDI, etc.

Termine atomiquement chaque processus actuellement assigné à un job object.

Annule chaque requête I/O en attente émise par le thread appelant sur un handle fichier.

Annule une requête I/O spécifique en attente sur un fichier, quel que soit le thread émetteur.

Annule un appel I/O synchrone qui bloque actuellement un autre thread.

Bloque temporairement toutes les écritures de registre du système, utilisé par VSS pour des snapshots cohérents.

Libère un gel précédent du registre pour reprendre les écritures ; contrepartie de NtFreezeRegistry.

Envoie un IOCTL à un driver noyau — porte d'entrée user-mode de tout abus de primitive BYOVD.

Charge un driver mode noyau depuis une entrée de service décrite dans le registre — porte d'entrée BYOVD.

Décharge un driver mode noyau précédemment chargé — la primitive de nettoyage BYOVD.