← Retour à l'index malware
Themida-packed loaders
Les attributions s'appuient sur des rapports publics. Une famille listée signifie qu'au moins une fiche syscall la cite ; son absence n'implique pas un non-usage.
5 syscalls cités
- NtQueryInformationThread
Lit une propriété d'un thread via l'énumération THREADINFOCLASS — pointeur TEB, flag hide-from-debugger, temps, statut de sortie.
- NtSetInformationThread
Définit une propriété d'un thread via l'énumération THREADINFOCLASS — notamment ThreadHideFromDebugger.
- NtCreateDebugObject
Crée un DebugObject noyau — le port par débogueur qui reçoit les événements des processus attachés.
- NtDebugActiveProcess
Attache un DebugObject existant à un processus en cours — le côté noyau de DebugActiveProcess.
- NtRemoveProcessDebug
Détache un DebugObject d'un processus — le côté noyau de DebugActiveProcessStop.