Cobalt Strike

Réserve, valide ou les deux une région de mémoire virtuelle dans un processus cible.

Réserve ou valide de la mémoire virtuelle avec paramètres étendus (nœud NUMA préféré, CFG, contraintes d'adresse).

Modifie la protection d'une région de mémoire virtuelle validée dans un processus cible.

Écrit un tampon de l'appelant dans l'espace d'adressage virtuel d'un processus cible.

Lit des octets de l'espace d'adressage virtuel d'un processus cible vers un tampon fourni par l'appelant.

Décommit ou libère une région de mémoire virtuelle dans un processus cible.

Récupère des informations sur les pages de l'espace d'adressage virtuel d'un processus cible.

Ouvre un handle vers un processus existant avec un masque d'accès demandé.

Crée un objet section adossé à un fichier ou au pagefile système pour le mappage mémoire partagée.

Mappe une vue d'un objet section dans l'espace d'adressage virtuel d'un processus cible.

Crée un nouveau thread dans un processus cible, éventuellement suspendu, avec support des listes d'attributs.

Place un appel de procédure asynchrone (APC) en mode utilisateur dans la file d'un thread cible.

Place un APC utilisateur dans la file d'un thread avec un objet réserve optionnel ou un flag special-user-APC pour livraison forcée.

Crée un nouveau processus en mode utilisateur et son thread initial à partir d'une image exécutable.

Termine un processus cible et tous ses threads avec un code de sortie donné.

Suspend tous les threads d'un processus cible en incrémentant le compteur de suspension de chacun.

Décrémente le compteur de suspension de chaque thread d'un processus cible et relance ceux qui atteignent zéro.

Ouvre un handle vers un thread existant identifié par CLIENT_ID avec les droits d'accès demandés.

Incrémente le compteur de suspension d'un thread cible, arrêtant son exécution.

Décrémente le compteur de suspension d'un thread, reprenant l'exécution lorsque le compteur atteint zéro.

Termine le thread spécifié avec le code de sortie fourni. Un handle NULL termine le thread courant.

Récupère le contexte des registres CPU (structure CONTEXT) d'un thread suspendu.

Définit le contexte des registres CPU d'un thread — primitive noyau derrière le détournement de thread et la redirection de shellcode.

Ouvre le jeton d'accès d'un processus en permettant à l'appelant de spécifier des attributs de handle tels que OBJ_INHERIT.

Active ou désactive des privilèges dans un jeton d'accès spécifié.

Récupère une classe d'information spécifiée sur un jeton d'accès.

Écrit une propriété d'un token d'accès — niveau d'intégrité, session id, owner, DACL par défaut, politique d'audit, token lié.

Crée un nouveau jeton d'accès dupliquant un jeton existant, en modifiant éventuellement son type et son niveau d'impersonation.

Fait impersonner par le thread serveur le contexte de sécurité du thread client.

Récupère une classe d'informations sur un processus — back-end universel de GetProcessInformation et cheval de bataille des vérifications anti-debug.

Modifie une classe d'état au niveau processus — auto-nettoyage anti-debug, enregistrement de plages CET, installation de politiques ACG/CIG, callbacks d'instrumentation.

Définit une propriété d'un thread via l'énumération THREADINFOCLASS — notamment ThreadHideFromDebugger.

Récupère une classe d'informations à l'échelle du système — liste des processus, table des handles noyau, liste des pilotes chargés, état d'intégrité du code, et plus.

IOCTL de contrôle multiplexé du sous-système ETW — démarrer, arrêter, interroger, vider les sessions et activer/désactiver les providers.

Ouvre un handle vers un objet événement nommé existant.

Attend jusqu'à MAXIMUM_WAIT_OBJECTS objets dispatcher avec une sémantique WaitAny ou WaitAll.

Retourne l'heure système actuelle en intervalles de 100 ns depuis 1601-01-01 UTC.

Ferme un handle d'objet noyau (fichier, clé, événement, processus, thread, section, etc.).

Duplique un handle d'un processus source vers un processus cible, avec ajustement éventuel des accès ou fermeture de la source.

Renvoie des métadonnées sur un handle d'objet noyau : info de base, nom, type ou table de types système.

Définit des attributs de niveau handle (héritage, protection contre fermeture) sur un handle d'objet noyau.

Ouvre un lien symbolique de l'object manager existant par son nom, renvoyant un handle pour interrogation ou suppression.