NtAdjustGroupsToken

Prototyp

NTSTATUS NtAdjustGroupsToken(
  HANDLE         TokenHandle,
  BOOLEAN        ResetToDefault,
  PTOKEN_GROUPS  NewState,
  ULONG          BufferLength,
  PTOKEN_GROUPS  PreviousState,
  PULONG         ReturnLength
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 6C 00 00 00      mov eax, 0x6C
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Die Kernel-Seite der Win32-API `AdjustTokenGroups`. Geschwister von `NtAdjustPrivilegesToken` — Privilegien leben in TOKEN_PRIVILEGES, Gruppenmitgliedschaft in TOKEN_GROUPS. `NtAdjustGroupsToken` kann keinen SID zu einem Token *hinzufügen*; es kann nur die bereits im Token vorhandenen SIDs (enabled, disabled, deny-only oder restricted) aktivieren, deaktivieren oder auf den Default zurücksetzen. Um das Attribut SE_GROUP_USE_FOR_DENY_ONLY eines SIDs abzuschalten, muss man typischerweise zuerst `NtFilterToken` aufrufen, um eine Nicht-Deny-Variante zu erzeugen. Jeder SID in NewState wird mit einer Attributes-Maske gepaart (SE_GROUP_ENABLED, SE_GROUP_ENABLED_BY_DEFAULT, SE_GROUP_OWNER, SE_GROUP_USE_FOR_DENY_ONLY); SE_GROUP_ENABLED auf einem zuvor deaktivierten SID aktiviert ihn.

Häufige Malware-Nutzung

**Group-SID-Reaktivierung für Privilege-Escalation-Ketten**: das kanonische Setup ist ein Angreifer, der ein Token gestohlen hat (über SeImpersonatePrivilege, Rotten/Juicy Potato, PrintSpoofer, etc.), das BUILTIN\Administrators als Deny-Only-SID enthält (typischer Zustand unter UAC-Split-Token IL Medium). Der Angreifer ruft NtFilterToken oder Token-Duplizierung, um eine Nicht-Deny-Variante zu erzeugen, dann NtAdjustGroupsToken, um SE_GROUP_ENABLED auf dem Administrators-SID wieder anzuschalten — sofortige Admin-Gruppenmitgliedschaft am Live-Thread ohne interaktiven UAC-Prompt. Seltener wird es genutzt, um einen SID zu unterdrücken, den der Angreifer nicht evaluiert wissen will (Logging-Gruppen-SID deaktivieren, das beim Dateizugriff Extra-Auditing triggert). Dokumentiert in offensiven Toolchains rund um die Familien AlwaysInstallElevated und SeImpersonatePrivilege.

Erkennungs­möglichkeiten

Microsoft-Windows-Security-Auditing Event-ID 4672 (Spezialprivilegien zugewiesen) und 4673 (privilegierter Dienst aufgerufen) helfen bei der Privilege-Seite; die Gruppen-Adjust-Seite wird nur indirekt über 4670 (Berechtigungen auf einem Objekt geändert) abgedeckt. EDRs, die Token-Modifikations-Primitiven tracken, zeigen eine Sequenz wie (NtOpenProcessToken auf einem höher privilegierten Prozess → NtDuplicateToken → NtFilterToken → NtAdjustGroupsToken → NtSetInformationThread(ImpersonationToken)) als Token-Abuse-Kette. Die verteidiger-freundliche Invariante: legitime Prozesse rufen NtAdjustGroupsToken so gut wie nie auf, um einen zuvor deaktivierten High-Privilege-SID zu *aktivieren*; Auditoren, die den Token-Zustand beim Prozess-Erzeugen snapshotten und mit dem Laufzeitzustand vergleichen, können das Delta flaggen. ETW Microsoft-Windows-Kernel-Audit-API-Calls zeigt den Syscall in moderatem Volumen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtAdjustGroupsToken (SSN 0x6C on Win10 2004+/Win11)
NtAdjustGroupsToken PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 6Ch          ; SSN — stable across modern builds
    syscall
    ret
NtAdjustGroupsToken ENDP

// Assumes hTok came from NtDuplicateToken + NtFilterToken (non-deny variant).
// Re-enable SE_GROUP_ENABLED on the Administrators SID in-place.
#include <windows.h>
#include <winternl.h>

static VOID EnableAdminsGroup(HANDLE hTok) {
    SID_IDENTIFIER_AUTHORITY nt = SECURITY_NT_AUTHORITY;
    PSID adminSid = NULL;
    AllocateAndInitializeSid(&nt, 2,
        SECURITY_BUILTIN_DOMAIN_RID, DOMAIN_ALIAS_RID_ADMINS,
        0, 0, 0, 0, 0, 0, &adminSid);

    BYTE buf[sizeof(TOKEN_GROUPS) + sizeof(SID_AND_ATTRIBUTES)];
    TOKEN_GROUPS* tg = (TOKEN_GROUPS*)buf;
    tg->GroupCount = 1;
    tg->Groups[0].Sid = adminSid;
    tg->Groups[0].Attributes = SE_GROUP_ENABLED; // flip the bit

    // Win32 wrapper -> NtAdjustGroupsToken
    AdjustTokenGroups(hTok, FALSE, tg, 0, NULL, NULL);
    FreeSid(adminSid);
}

// Defensive / red-team utility: change group state, do work, restore exactly.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtAdjustGroupsToken)(
    HANDLE, BOOLEAN, PTOKEN_GROUPS, ULONG, PTOKEN_GROUPS, PULONG);

VOID WithToggledGroup(HANDLE hTok, TOKEN_GROUPS* desired) {
    pNtAdjustGroupsToken NtAdjustGroupsToken = (pNtAdjustGroupsToken)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtAdjustGroupsToken");
    BYTE prev[4096]; ULONG ret = 0;
    NtAdjustGroupsToken(hTok, FALSE, desired,
                        sizeof(prev), (PTOKEN_GROUPS)prev, &ret);
    DoWorkWithToggledGroups();
    NtAdjustGroupsToken(hTok, FALSE, (PTOKEN_GROUPS)prev,
                        0, NULL, NULL); // revert exact prior state
}

MITRE ATT&CK-Mappings

• T1134Access Token Manipulationmitre ↗
• T1134.001Token Impersonation/Theftmitre ↗
• T1068Exploitation for Privilege Escalationmitre ↗