BumbleBee
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
11 syscalls cités
- NtAllocateVirtualMemoryEx
Réserve ou valide de la mémoire virtuelle avec paramètres étendus (nœud NUMA préféré, CFG, contraintes d'adresse).
- NtProtectVirtualMemory
Modifie la protection d'une région de mémoire virtuelle validée dans un processus cible.
- NtFreeVirtualMemory
Décommit ou libère une région de mémoire virtuelle dans un processus cible.
- NtQueryVirtualMemory
Récupère des informations sur les pages de l'espace d'adressage virtuel d'un processus cible.
- NtCreateSection
Crée un objet section adossé à un fichier ou au pagefile système pour le mappage mémoire partagée.
- NtMapViewOfSection
Mappe une vue d'un objet section dans l'espace d'adressage virtuel d'un processus cible.
- NtCreateThreadEx
Crée un nouveau thread dans un processus cible, éventuellement suspendu, avec support des listes d'attributs.
- NtQueryInformationThread
Lit une propriété d'un thread via l'énumération THREADINFOCLASS — pointeur TEB, flag hide-from-debugger, temps, statut de sortie.
- NtDelayExecution
Suspend le thread appelant pendant un intervalle donné, éventuellement en état alertable.
- NtQuerySystemTime
Retourne l'heure système actuelle en intervalles de 100 ns depuis 1601-01-01 UTC.
- NtClose
Ferme un handle d'objet noyau (fichier, clé, événement, processus, thread, section, etc.).