LockBit
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
8 syscalls cités
- NtTerminateProcess
Termine un processus cible et tous ses threads avec un code de sortie donné.
- NtSuspendProcess
Suspend tous les threads d'un processus cible en incrémentant le compteur de suspension de chacun.
- NtResumeProcess
Décrémente le compteur de suspension de chaque thread d'un processus cible et relance ceux qui atteignent zéro.
- NtRaiseHardError
Lève une « erreur dure » que le noyau achemine vers CSRSS pour affichage — ou, avec SeShutdownPrivilege et sévérité FATAL, déclenche un bugcheck immédiat (BSOD).
- NtCreateFile
Crée ou ouvre un fichier, répertoire, périphérique ou pipe nommé — premier appel disque de tout dropper.
- NtWriteFile
Écrit des données dans un fichier, pipe ou périphérique ouvert — pendant noyau de NtCreateFile pour déposer un payload.
- NtSetInformationFile
Définit des métadonnées de fichier via FILE_INFORMATION_CLASS — renommer, supprimer, allouer, fin de fichier…
- NtDuplicateObject
Duplique un handle d'un processus source vers un processus cible, avec ajustement éventuel des accès ou fermeture de la source.