← Retour à l'index malware
Cobalt Strike (Sleep Mask Kit)
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
3 syscalls cités
- NtGetWriteWatch
Récupère l'ensemble des pages écrites dans une région MEM_WRITE_WATCH depuis la dernière réinitialisation.
- NtContinue
Restaure un CONTEXT CPU sur le thread courant et reprend l'exécution à CONTEXT.Rip.
- NtDelayExecution
Suspend le thread appelant pendant un intervalle donné, éventuellement en état alertable.