FinFisher
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
9 syscalls cités
- NtSetInformationToken
Écrit une propriété d'un token d'accès — niveau d'intégrité, session id, owner, DACL par défaut, politique d'audit, token lié.
- NtSetInformationThread
Définit une propriété d'un thread via l'énumération THREADINFOCLASS — notamment ThreadHideFromDebugger.
- NtDebugActiveProcess
Attache un DebugObject existant à un processus en cours — le côté noyau de DebugActiveProcess.
- NtQueryObject
Renvoie des métadonnées sur un handle d'objet noyau : info de base, nom, type ou table de types système.
- NtSetInformationObject
Définit des attributs de niveau handle (héritage, protection contre fermeture) sur un handle d'objet noyau.
- NtAddAtom
Ajoute (ou incrémente le refcount) d'une chaîne dans la table d'atomes globale du noyau et renvoie son ID 16 bits.
- NtFindAtom
Recherche un atome global existant par son nom et renvoie son ID 16 bits sans incrémenter le refcount.
- NtDeleteAtom
Décrémente le compteur de références d'un atome global et le supprime quand le compteur atteint zéro.
- NtQueryInformationAtom
Renvoie des métadonnées sur un atome unique ou sur toute la table d'atomes globale — nom, refcount, pin count, compteurs d'usage.