Brute Ratel C4
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
22 syscalls cités
- NtQueueApcThreadEx
Place un APC utilisateur dans la file d'un thread avec un objet réserve optionnel ou un flag special-user-APC pour livraison forcée.
- NtContinue
Restaure un CONTEXT CPU sur le thread courant et reprend l'exécution à CONTEXT.Rip.
- NtAlertResumeThread
Reprend un thread suspendu et l'alerte simultanément pour délivrer toute APC en attente.
- NtTraceControl
IOCTL de contrôle multiplexé du sous-système ETW — démarrer, arrêter, interroger, vider les sessions et activer/désactiver les providers.
- NtCreateEvent
Crée un objet d'événement de synchronisation, nommé ou non, et renvoie un handle.
- NtOpenEvent
Ouvre un handle vers un objet événement nommé existant.
- NtSetEvent
Place un objet événement à l'état signalé, libérant les threads en attente.
- NtResetEvent
Remet un objet événement à non-signalé et retourne son état signalé précédent.
- NtClearEvent
Met un objet événement à l'état non-signalé sans retourner l'état précédent.
- NtWaitForSingleObject
Attend qu'un objet dispatcher devienne signalé ou que le timeout optionnel expire.
- NtWaitForMultipleObjects
Attend jusqu'à MAXIMUM_WAIT_OBJECTS objets dispatcher avec une sémantique WaitAny ou WaitAll.
- NtCreateTimer
Crée un objet timer noyau qui pourra ensuite être armé via NtSetTimer.
- NtSetTimer
Arme un objet timer avec une due time, une période optionnelle et une routine APC optionnelle déclenchée à l'expiration.
- NtCancelTimer
Annule un armement NtSetTimer en attente et indique si le timer était encore actif à l'annulation.
- NtDelayExecution
Suspend le thread appelant pendant un intervalle donné, éventuellement en état alertable.
- NtCreateNamedPipeFile
Crée l'extrémité serveur d'un canal nommé dans l'espace de noms \Device\NamedPipe.
- NtAlpcCreatePort
Crée un port de connexion ALPC côté serveur que les clients peuvent atteindre via NtAlpcConnectPort.
- NtAlpcConnectPort
Établit une connexion client ALPC vers un port serveur nommé et échange un message initial.
- NtAlpcSendWaitReceivePort
Envoie un message ALPC sur un port et attend optionnellement une réponse ou le prochain message entrant.
- NtOpenFile
Ouvre un handle vers un fichier ou un device existant — pendant léger sans création de NtCreateFile.
- NtCreateDirectoryObject
Crée un nouvel objet directory dans l'espace de noms de l'object manager Windows.
- NtCreateSymbolicLinkObject
Crée un lien symbolique d'object manager d'un nom vers une chaîne cible NT arbitraire.