BruteRatel
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
6 syscalls cités
- NtAllocateVirtualMemoryEx
Réserve ou valide de la mémoire virtuelle avec paramètres étendus (nœud NUMA préféré, CFG, contraintes d'adresse).
- NtFreeVirtualMemory
Décommit ou libère une région de mémoire virtuelle dans un processus cible.
- NtQueryVirtualMemory
Récupère des informations sur les pages de l'espace d'adressage virtuel d'un processus cible.
- NtCreateUserProcess
Crée un nouveau processus en mode utilisateur et son thread initial à partir d'une image exécutable.
- NtSuspendProcess
Suspend tous les threads d'un processus cible en incrémentant le compteur de suspension de chacun.
- NtResumeProcess
Décrémente le compteur de suspension de chaque thread d'un processus cible et relance ceux qui atteignent zéro.