NtAccessCheckByTypeAndAuditAlarm

Prototyp

NTSTATUS NtAccessCheckByTypeAndAuditAlarm(
  PUNICODE_STRING       SubsystemName,
  PVOID                 HandleId,
  PUNICODE_STRING       ObjectTypeName,
  PUNICODE_STRING       ObjectName,
  PSECURITY_DESCRIPTOR  SecurityDescriptor,
  PSID                  PrincipalSelfSid,
  ACCESS_MASK           DesiredAccess,
  AUDIT_EVENT_TYPE      AuditType,
  ULONG                 Flags,
  POBJECT_TYPE_LIST     ObjectTypeList,
  ULONG                 ObjectTypeListLength,
  PGENERIC_MAPPING      GenericMapping,
  BOOLEAN               ObjectCreation,
  PACCESS_MASK          GrantedAccess,
  PNTSTATUS             AccessStatus,
  PBOOLEAN              GenerateOnClose
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 59 00 00 00      mov eax, 0x59
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Audit-protokollierender Geschwister-Syscall von NtAccessCheckByType. Die Nicht-Alarm-Variante liefert die Zugriffsentscheidung und endet; diese Variante schreibt zusätzlich einen Audit-Eintrag ins Security-Eventlog, wenn die SACL des Objekts es verlangt (oder wenn AuditType + Flags es erzwingen). Die Funktion erfordert SeAuditPrivilege — nur Aufrufer mit diesem Privileg (LSASS, der Security Reference Monitor, Kernel-Mode-Subsysteme) können sie sinnvoll nutzen. Die SSN ist seit Windows 10 1507 stabil bei `0x59` — ungewöhnlich, aber konsistent damit, dass alle `*AuditAlarm`-Syscalls die Post-1909-Umnummerierungen vordatieren.

Häufige Malware-Nutzung

Vernachlässigbar. Per Design erzeugt jeder erfolgreiche Aufruf einen Security-Eventlog-Eintrag — das Gegenteil dessen, was die meisten Malwares wollen. Die wenigen In-the-Wild-Vorkommen sind LSASS, das sich legitim verhält (`lsass.exe` bei AD-Objekt-Zugriffsentscheidungen). Keine Commodity-Familie nutzt es bekanntermaßen missbräuchlich. Interessant aus Verteidigersicht ist die *Abwesenheit* erwarteter Audit-Alarm-Aufrufe beim Zugriff auf ein SACL-überwachtes Objekt — möglicherweise ein Tampering-Signal an der SACL oder am SRM-Dispatch-Pfad.

Erkennungs­möglichkeiten

Diese Aufrufe *sind* das Security-Eventlog für Objektzugriff. Event IDs 4656 (Handle angefordert), 4658 (Handle geschlossen), 4660 (Objekt gelöscht), 4663 (Zugriffsversuch), 4690 (Handle dupliziert) gehen alle auf die Familie NtAccessCheck*AuditAlarm + NtCloseObjectAuditAlarm + NtDeleteObjectAuditAlarm zurück. Verteidiger sollten sicherstellen, dass SACLs auf hochwertigen Objekten (LSASS-Prozess, AD-Naming-Contexts, DPAPI-Masterkey-Store) so konfiguriert sind, dass sie Audit-Alarm-Prüfungen auslösen, und die Abwesenheit erwarteter Events als Tampering-Signal werten. Der ETW-Provider Microsoft-Windows-Security-Auditing trägt dieselben Daten mit mehr Detail als der Legacy-Eventlog-Kanal.

Direkte Syscall-Beispiele

; Direct syscall stub for NtAccessCheckByTypeAndAuditAlarm (SSN 0x59, Win10 1507+)
; 16 args -> 4 in regs + 12 on stack per x64 calling convention.
NtAccessCheckByTypeAndAuditAlarm PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 59h          ; SSN
    syscall
    ret
NtAccessCheckByTypeAndAuditAlarm ENDP

// Sketch of how a SACL-monitored AD object access is dispatched inside LSASS.
// In production this is reached through AccessCheckByTypeAndAuditAlarmW;
// shown here against the Nt-level for clarity.

UNICODE_STRING subsystem = RTL_CONSTANT_STRING(L"Security");
UNICODE_STRING objectType = RTL_CONSTANT_STRING(L"DS-Object");
UNICODE_STRING objectName = RTL_CONSTANT_STRING(L"CN=Administrator,CN=Users,DC=contoso,DC=com");
ACCESS_MASK granted = 0;
NTSTATUS access_status = STATUS_ACCESS_DENIED;
BOOLEAN gen_on_close = FALSE;

NTSTATUS s = NtAccessCheckByTypeAndAuditAlarm(
    &subsystem,
    (PVOID)hHandleId,
    &objectType,
    &objectName,
    pSd,
    NULL,
    READ_CONTROL | ADS_RIGHT_DS_READ_PROP,
    AuditEventDirectoryServiceAccess,
    0,
    pObjectTypeList, objectTypeListCount,
    &g_DsGenericMapping,
    FALSE,
    &granted,
    &access_status,
    &gen_on_close);

// On STATUS_SUCCESS, the SRM emitted Event 4662 ("An operation was performed on an
// object") into the Security log. If gen_on_close==TRUE remember to call
// NtCloseObjectAuditAlarm when releasing the handle.

// The public Win32 wrapper is AccessCheckByTypeAndAuditAlarmW.
// windows-sys exposes it under Win32::Security::Authorization.
use windows_sys::Win32::Security::Authorization::AccessCheckByTypeAndAuditAlarmW;
use windows_sys::Win32::Security::*;
use windows_sys::core::PCWSTR;

unsafe {
    let mut granted: u32 = 0;
    let mut access_status: i32 = 0;
    let mut gen_on_close: i32 = 0;
    let rc = AccessCheckByTypeAndAuditAlarmW(
        windows_sys::w!("Security"),
        handle_id as *mut _,
        windows_sys::w!("DS-Object"),
        windows_sys::w!("CN=Administrator,..."),
        sd_ptr,
        std::ptr::null_mut(),
        desired_access,
        object_type_list.as_ptr(),
        object_type_list.len() as u32,
        0, // ObjectCreation == FALSE
        &mut granted,
        &mut access_status,
        &mut gen_on_close,
    );
    // rc != 0 means the *call* succeeded; access_status == 0 means it was granted.
}

MITRE ATT&CK-Mappings

• T1562.002Impair Defenses: Disable Windows Event Loggingmitre ↗
• T1106Native APImitre ↗