BlackCat / ALPHV
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
8 syscalls cités
- NtOpenProcessToken
Ouvre le jeton d'accès associé à un processus et renvoie un handle vers celui-ci.
- NtAdjustPrivilegesToken
Active ou désactive des privilèges dans un jeton d'accès spécifié.
- NtDuplicateToken
Crée un nouveau jeton d'accès dupliquant un jeton existant, en modifiant éventuellement son type et son niveau d'impersonation.
- NtCreateNamedPipeFile
Crée l'extrémité serveur d'un canal nommé dans l'espace de noms \Device\NamedPipe.
- NtDeleteKey
Supprime une clé de registre à la fermeture du handle — utilisé pour effacer la persistance et les artefacts d'audit après exécution.
- NtQueryVolumeInformationFile
Récupère les propriétés filesystem et volume (label, taille, type de périphérique, attributs) du volume associé à un handle de fichier.
- NtSetSystemPowerState
Fait passer le système dans l'état d'alimentation demandé (veille, hibernation, fonctionnement).
- NtInitiatePowerAction
Demande au power manager d'effectuer une action d'alimentation système (veille, hibernation, arrêt, redémarrage).