← Retour à l'index malware
Ekko sleep mask
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
4 syscalls cités
- NtTestAlert
Vérifie si le thread appelant a une alerte en attente et délivre, le cas échéant, les APC user-mode en file.
- NtContinue
Restaure un CONTEXT CPU sur le thread courant et reprend l'exécution à CONTEXT.Rip.
- NtAlertResumeThread
Reprend un thread suspendu et l'alerte simultanément pour délivrer toute APC en attente.
- NtDelayExecution
Suspend le thread appelant pendant un intervalle donné, éventuellement en état alertable.