NtAccessCheckByTypeResultListAndAuditAlarm

Prototyp

NTSTATUS NtAccessCheckByTypeResultListAndAuditAlarm(
  PUNICODE_STRING       SubsystemName,
  PVOID                 HandleId,
  PUNICODE_STRING       ObjectTypeName,
  PUNICODE_STRING       ObjectName,
  PSECURITY_DESCRIPTOR  SecurityDescriptor,
  PSID                  PrincipalSelfSid,
  ACCESS_MASK           DesiredAccess,
  AUDIT_EVENT_TYPE      AuditType,
  ULONG                 Flags,
  POBJECT_TYPE_LIST     ObjectTypeList,
  ULONG                 ObjectTypeListLength,
  PGENERIC_MAPPING      GenericMapping,
  BOOLEAN               ObjectCreation,
  PACCESS_MASK          GrantedAccessList,
  PNTSTATUS             AccessStatusList,
  PBOOLEAN              GenerateOnClose
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 65 00 00 00      mov eax, 0x65
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Einer der Native-API-Syscalls mit dem längsten Prototyp — 15 Argumente, durch die Kombination typisierter Zugriffsprüfung (Objekt + Property-Set-Hierarchie) mit Audit-Alarm-Emission. Die Vereinigung von NtAccessCheckByTypeResultList (Ergebnisvektor) und NtAccessCheckByTypeAndAuditAlarm (Audit-Emission). Fast ausschließlich von ntdsa.dll innerhalb lsass.exe genutzt, um Active-Directory-Objekt-Reads/-Writes zu bewerten, bei denen das Ergebnis sowohl pro Property Set ALS AUCH protokolliert sein muss. Die SACL des AD-Objekts steuert, ob ein Security-Event 4662 ("Eine Operation wurde an einem Objekt ausgeführt") emittiert wird; die Pro-Eintrag-Entscheidung steuert, ob die Operation abgewiesen wird. SSN `0x65` ist seit Windows 10 1507 stabil.

Häufige Malware-Nutzung

Im Wesentlichen null. Die Funktion ist zu spezialisiert — der Aufrufer muss eine gültige OBJECT_TYPE_LIST marshallen, SeAuditPrivilege halten, und jeder erfolgreiche Aufruf erzeugt ein 4662 im Security-Log. Commodity-Malware tut das Gegenteil: sie umgeht Zugriffsprüfungen vollständig (Token-Diebstahl via NtImpersonateThread + SeDebugPrivilege) oder missbraucht auf einem DC Replication Get-Changes-All über legitime RPC-Pfade (DCSync), sodass die SACL-Bewertung im Namen von ntdsa abläuft und die Logs bei den *Verteidigern* landen. Keine bekannte In-the-Wild-Familie ruft diesen Syscall direkt auf.

Erkennungs­möglichkeiten

Dieser Syscall ist der Motor des Active-Directory-Objektzugriff-Audits (Events 4662, 4663, 4690). Verteidiger sollten sicherstellen, dass die Advanced-Audit-Policies `Audit Directory Service Access` und `Audit Directory Service Changes` auf jedem Domain Controller aktiviert sind, mit SACLs auf sensiblen Containern (Domain-NC-Head, AdminSDHolder, Krbtgt-Konto). Ein plötzlicher Rückgang des 4662-Volumens auf einem DC, besonders in sonst geschäftigen Stunden, ist ein starkes Signal für Audit-Subsystem-Tampering (T1562.002) — möglicherweise via NtFlushKey auf der Eventlog-Hive, Registry-Edits an SACL oder treiberbasierten SRM-Hooks.

Direkte Syscall-Beispiele

; Direct syscall stub for NtAccessCheckByTypeResultListAndAuditAlarm (SSN 0x65)
NtAccessCheckByTypeResultListAndAuditAlarm PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 65h          ; SSN
    syscall
    ret
NtAccessCheckByTypeResultListAndAuditAlarm ENDP

// AccessCheckByTypeResultListAndAuditAlarmW marshals OBJECT_TYPE_LIST_W and
// dispatches to the Nt-level entry point.
UNICODE_STRING sub  = RTL_CONSTANT_STRING(L"Security");
UNICODE_STRING tname= RTL_CONSTANT_STRING(L"DS-Object");
UNICODE_STRING oname= RTL_CONSTANT_STRING(L"CN=krbtgt,CN=Users,DC=contoso,DC=com");
ACCESS_MASK granted[2] = {0};
NTSTATUS    statuses[2] = {STATUS_ACCESS_DENIED, STATUS_ACCESS_DENIED};
BOOLEAN     gen_on_close = FALSE;

NTSTATUS rc = NtAccessCheckByTypeResultListAndAuditAlarm(
    &sub,
    (PVOID)0xABCD1234,
    &tname, &oname,
    pSd, NULL,
    READ_CONTROL | ADS_RIGHT_DS_READ_PROP,
    AuditEventDirectoryServiceAccess,
    0,
    pObjectTypeList, 2,
    &g_DsGenericMapping,
    FALSE,
    granted, statuses,
    &gen_on_close);

// Each successful entry emits a 4662 carrying the object DN and the GUID
// of the property set evaluated.

// AccessCheckByTypeResultListAndAuditAlarmW in windows-sys::Win32::Security::Authorization.
use windows_sys::Win32::Security::Authorization::*;
use windows_sys::Win32::Security::*;

unsafe {
    let mut granted = [0u32; 2];
    let mut status  = [0i32; 2];
    let mut gen_on_close: i32 = 0;

    let rc = AccessCheckByTypeResultListAndAuditAlarmW(
        windows_sys::w!("Security"),
        handle_id as *mut _,
        windows_sys::w!("DS-Object"),
        windows_sys::w!("CN=krbtgt,CN=Users,DC=contoso,DC=com"),
        sd_ptr, std::ptr::null_mut(),
        ADS_RIGHT_DS_READ_PROP.0 as u32 | READ_CONTROL,
        otl.as_ptr(), otl.len() as u32,
        0, // ObjectCreation == FALSE
        granted.as_mut_ptr(), status.as_mut_ptr(),
        &mut gen_on_close,
    );
}

MITRE ATT&CK-Mappings

• T1562.002Impair Defenses: Disable Windows Event Loggingmitre ↗
• T1106Native APImitre ↗