← Retour à l'index malware
Donut loader
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
4 syscalls cités
- NtOpenThread
Ouvre un handle vers un thread existant identifié par CLIENT_ID avec les droits d'accès demandés.
- NtGetContextThread
Récupère le contexte des registres CPU (structure CONTEXT) d'un thread suspendu.
- NtSetContextThread
Définit le contexte des registres CPU d'un thread — primitive noyau derrière le détournement de thread et la redirection de shellcode.
- NtSetInformationProcess
Modifie une classe d'état au niveau processus — auto-nettoyage anti-debug, enregistrement de plages CET, installation de politiques ACG/CIG, callbacks d'instrumentation.