NtAccessCheckAndAuditAlarm

Prototyp

NTSTATUS NtAccessCheckAndAuditAlarm(
  PUNICODE_STRING       SubsystemName,
  PVOID                 HandleId,
  PUNICODE_STRING       ObjectTypeName,
  PUNICODE_STRING       ObjectName,
  PSECURITY_DESCRIPTOR  SecurityDescriptor,
  ACCESS_MASK           DesiredAccess,
  PGENERIC_MAPPING      GenericMapping,
  BOOLEAN               ObjectCreation,
  PACCESS_MASK          GrantedAccess,
  PNTSTATUS             AccessStatus,
  PBOOLEAN              GenerateOnClose
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 29 00 00 00      mov eax, 0x29
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Die ursprüngliche, untypisierte Audit-Alarm-Zugriffsprüfung — Vorgänger der ByType-/ResultList-Varianten um mehrere Windows-Generationen und immer noch der Dispatcher für Flach-ACL-Objekte (Dateien, Registry-Keys, Kernel-Mutexes, Sections). Erzeugt das Security-Event 4663 ("Es wurde versucht, auf ein Objekt zuzugreifen"), wenn die SACL oder der AUDIT_EVENT_TYPE die Emission erzwingt. Die Funktion ist das Kernel-Backend des Win32-Wrappers AccessCheckAndAuditAlarmW. Die SSN `0x29` ist seit Windows 10 1507 fixiert — die gesamte `*AuditAlarm`-Familie clustert im niedrigen Syscall-Bereich vor den Post-1909-Umnummerierungen, einer der wenigen stabilen Referenzpunkte der modernen Windows-Linie.

Häufige Malware-Nutzung

Vernachlässigbar. Der Sinn dieses Syscalls ist gerade eine Papierspur — Malware-Autoren meiden ihn aus genau diesem Grund. Das interessante Angriffsmuster ist nicht der *Aufruf* — sondern dafür zu sorgen, dass er *nicht aufgerufen wird*, wenn er sollte. Gegner, die auf SACL-Objekten ohne 4663-Einträge operieren müssen, (a) beeinträchtigen das Audit-Subsystem vollständig (T1562.002 via Stoppen des EventLog, SACL-Stripping in der Registry oder treibergebundene SRM-Hooks), oder (b) umgehen den auditierten Code-Pfad durch kernel-direkten Zugang (Roh-NTFS-Sektor-Reads via \\.\PhysicalDriveN, um Object-Manager-vermittelte Datei-SACLs zu umgehen, wie etwa Lazarus' FudModule-Rootkit für Credential-Store-Reads).

Erkennungs­möglichkeiten

Event 4663 ist das Arbeitspferd der Objektzugriffs-Auditierung auf jedem Windows-Endpoint. Auf einem baseline-getunten SIEM liegt das Volumen bei Hunderten bis wenigen Tausend pro Stunde pro Workstation, dominiert vom Defender-Service-Account-Zugriff auf das Dateisystem. Hunt-Patterns: 4663 auf `\Device\HarddiskVolumeShadowCopy*` (Roh-Shadow-Copy-Zugriff, Volsnap-Bypass-Indikator); 4663 auf lsass.exe-Handles mit PROCESS_VM_READ; 4663 auf Registry-Keys unter HKLM\SECURITY\Policy\Secrets. Umgekehrt: ein plötzlicher Rückgang des 4663-Volumens während der Geschäftszeit, besonders auf einem Domain Controller, ist ein Alert höherer Fidelität als jedes Einzelevent.

Direkte Syscall-Beispiele

; Direct syscall stub for NtAccessCheckAndAuditAlarm (SSN 0x29, Win10 1507+)
NtAccessCheckAndAuditAlarm PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 29h          ; SSN
    syscall
    ret
NtAccessCheckAndAuditAlarm ENDP

// A user-mode service evaluates a file open against the file's SD and asks
// for the audit subsystem to record a 4663 if the SACL matches.
UNICODE_STRING sub  = RTL_CONSTANT_STRING(L"Security");
UNICODE_STRING tn   = RTL_CONSTANT_STRING(L"File");
UNICODE_STRING on_  = RTL_CONSTANT_STRING(L"\\??\\C:\\Windows\\System32\\config\\SAM");
ACCESS_MASK granted = 0;
NTSTATUS access_status = STATUS_ACCESS_DENIED;
BOOLEAN gen_on_close = FALSE;

NTSTATUS rc = NtAccessCheckAndAuditAlarm(
    &sub,
    (PVOID)0xCAFE1234,
    &tn, &on_,
    pSd,
    FILE_GENERIC_READ,
    &g_FileMapping,
    FALSE,
    &granted, &access_status,
    &gen_on_close);

// 4663 emitted with the file path and the granted access mask.
// If gen_on_close, remember to call NtCloseObjectAuditAlarm later.

use windows_sys::Win32::Security::Authorization::AccessCheckAndAuditAlarmW;
use windows_sys::Win32::Security::*;

unsafe {
    let mut granted: u32 = 0;
    let mut access_status: i32 = 0;
    let mut gen_on_close: i32 = 0;

    let ok = AccessCheckAndAuditAlarmW(
        windows_sys::w!("Security"),
        handle_id as *mut _,
        windows_sys::w!("File"),
        windows_sys::w!("\\??\\C:\\Windows\\System32\\config\\SAM"),
        sd_ptr,
        desired_access,
        &mapping as *const _ as *mut _,
        0, // ObjectCreation == FALSE
        &mut granted, &mut access_status, &mut gen_on_close,
    );
    // ok != 0 -> call succeeded; access_status == 0 -> access granted; 4663 emitted.
}

MITRE ATT&CK-Mappings

• T1562.002Impair Defenses: Disable Windows Event Loggingmitre ↗
• T1106Native APImitre ↗