Havoc
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
8 syscalls cités
- NtContinue
Restaure un CONTEXT CPU sur le thread courant et reprend l'exécution à CONTEXT.Rip.
- NtTraceControl
IOCTL de contrôle multiplexé du sous-système ETW — démarrer, arrêter, interroger, vider les sessions et activer/désactiver les providers.
- NtCreateEvent
Crée un objet d'événement de synchronisation, nommé ou non, et renvoie un handle.
- NtSetEvent
Place un objet événement à l'état signalé, libérant les threads en attente.
- NtWaitForSingleObject
Attend qu'un objet dispatcher devienne signalé ou que le timeout optionnel expire.
- NtCreateTimer
Crée un objet timer noyau qui pourra ensuite être armé via NtSetTimer.
- NtSetTimer
Arme un objet timer avec une due time, une période optionnelle et une routine APC optionnelle déclenchée à l'expiration.
- NtAlpcCreatePort
Crée un port de connexion ALPC côté serveur que les clients peuvent atteindre via NtAlpcConnectPort.