Brute Ratel
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
7 syscalls cités
- NtProtectVirtualMemory
Modifie la protection d'une région de mémoire virtuelle validée dans un processus cible.
- NtWriteVirtualMemory
Écrit un tampon de l'appelant dans l'espace d'adressage virtuel d'un processus cible.
- NtOpenProcess
Ouvre un handle vers un processus existant avec un masque d'accès demandé.
- NtCreateThreadEx
Crée un nouveau thread dans un processus cible, éventuellement suspendu, avec support des listes d'attributs.
- NtGetNextProcess
Parcourt la liste des processus du noyau et retourne un handle vers le processus suivant.
- NtResumeThread
Décrémente le compteur de suspension d'un thread, reprenant l'exécution lorsque le compteur atteint zéro.
- NtGetNextThread
Retourne un handle vers le thread suivant d'un processus cible en parcourant la liste de threads du noyau.