← Retour à l'index malware
Cobalt Strike (Ekko sleep mask)
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
5 syscalls cités
- NtCreateEvent
Crée un objet d'événement de synchronisation, nommé ou non, et renvoie un handle.
- NtSetEvent
Place un objet événement à l'état signalé, libérant les threads en attente.
- NtWaitForSingleObject
Attend qu'un objet dispatcher devienne signalé ou que le timeout optionnel expire.
- NtCreateTimer
Crée un objet timer noyau qui pourra ensuite être armé via NtSetTimer.
- NtSetTimer
Arme un objet timer avec une due time, une période optionnelle et une routine APC optionnelle déclenchée à l'expiration.