Qakbot

Réserve, valide ou les deux une région de mémoire virtuelle dans un processus cible.

Modifie la protection d'une région de mémoire virtuelle validée dans un processus cible.

Écrit un tampon de l'appelant dans l'espace d'adressage virtuel d'un processus cible.

Lit des octets de l'espace d'adressage virtuel d'un processus cible vers un tampon fourni par l'appelant.

Ouvre un handle vers un processus existant avec un masque d'accès demandé.

Place un appel de procédure asynchrone (APC) en mode utilisateur dans la file d'un thread cible.

Crée un nouveau processus en mode utilisateur et son thread initial à partir d'une image exécutable.

Décrémente le compteur de suspension d'un thread, reprenant l'exécution lorsque le compteur atteint zéro.

Écrit une propriété d'un token d'accès — niveau d'intégrité, session id, owner, DACL par défaut, politique d'audit, token lié.

Récupère une classe d'informations sur un processus — back-end universel de GetProcessInformation et cheval de bataille des vérifications anti-debug.

Lit une propriété d'un thread via l'énumération THREADINFOCLASS — pointeur TEB, flag hide-from-debugger, temps, statut de sortie.

Définit une propriété d'un thread via l'énumération THREADINFOCLASS — notamment ThreadHideFromDebugger.

Renvoie l'index zero-based du processeur logique sur lequel le thread appelant s'exécute actuellement.

Attend qu'un objet dispatcher devienne signalé ou que le timeout optionnel expire.

Crée ou ouvre un objet mutant (mutex) nommé ou anonyme et en prend éventuellement la propriété initiale.

Crée ou ouvre une clé de registre — primitive noyau derrière toute persistance écrite dans le registre.

Écrit une valeur nommée dans une clé de registre ouverte — pierre angulaire des persistances Run et IFEO.

Ferme un handle d'objet noyau (fichier, clé, événement, processus, thread, section, etc.).

Crée ou ouvre un fichier, répertoire, périphérique ou pipe nommé — premier appel disque de tout dropper.