ScareCrow
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
6 syscalls cités
- NtOpenThread
Ouvre un handle vers un thread existant identifié par CLIENT_ID avec les droits d'accès demandés.
- NtSuspendThread
Incrémente le compteur de suspension d'un thread cible, arrêtant son exécution.
- NtTerminateThread
Termine le thread spécifié avec le code de sortie fourni. Un handle NULL termine le thread courant.
- NtGetContextThread
Récupère le contexte des registres CPU (structure CONTEXT) d'un thread suspendu.
- NtSetContextThread
Définit le contexte des registres CPU d'un thread — primitive noyau derrière le détournement de thread et la redirection de shellcode.
- NtSetInformationProcess
Modifie une classe d'état au niveau processus — auto-nettoyage anti-debug, enregistrement de plages CET, installation de politiques ACG/CIG, callbacks d'instrumentation.