NtAllocateVirtualMemoryEx

Prototyp

NTSTATUS NtAllocateVirtualMemoryEx(
  HANDLE                 ProcessHandle,
  PVOID                 *BaseAddress,
  PSIZE_T                RegionSize,
  ULONG                  AllocationType,
  ULONG                  PageProtection,
  PMEM_EXTENDED_PARAMETER ExtendedParameters,
  ULONG                  ExtendedParameterCount
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 78 00 00 00      mov eax, 0x78
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtAllocateVirtualMemoryEx wurde in Windows 10 1803 eingeführt, um die neuen VirtualAlloc2-/VirtualAlloc2FromApp-APIs zu hinterlegen. Seine SSN hat sich im unterstützten Fenster dreimal verschoben — 0x74 auf RS4–19H2, 0x76 von 20H1 bis 23H2 und 0x78 auf 24H2 / Server 2025 — daher ist dynamische Auflösung (Hell's Gate / Halo's Gate / Tartarus' Gate) bei mehr als einem Ziel-Channel zwingend. Gegenüber NtAllocateVirtualMemory ergänzt es das MEM_EXTENDED_PARAMETER-Array und unterstützt Placeholder-Allokationen (von Windows für Sparse- und memfd-artige Mappings genutzt).

Häufige Malware-Nutzung

Zunehmend gegenüber dem klassischen NtAllocateVirtualMemory bevorzugt, aus drei Gründen. (1) **Weniger gehookte Fläche**: Viele EDRs patchen nur NtAllocateVirtualMemory und lassen die Ex-Variante uninstrumentiert; jüngere BumbleBee-, IcedID- und Latrodectus-Loader rufen aus diesem Grund gezielt den Ex-Pfad. (2) **PAGE_TARGETS_INVALID** markiert die neue Region unter CFG als kein gültiges Indirect-Call-Ziel; der Loader schaltet sie anschließend auf PAGE_EXECUTE_READ — der dokumentierte Weg, CFG zu umgehen, wenn der Host es aktiviert. (3) **MEM_EXTENDED_PARAMETER mit MemExtendedParameterAddressRequirements** erlaubt dem Implant, eine Allokation an einer präzisen High-Address zu fordern, hilfreich um Modul-ähnliche Basisadressen in Remote-Prozessen vorzutäuschen.

Erkennungs­möglichkeiten

Cross-Process-Allokationen über den Ex-Pfad mit ExtendedParameterCount != 0 sind außerhalb von Grafiktreibern und AppContainer-Brokern ungewöhnlich — alarmwürdig. Der ETW-Threat-Intelligence-Callback `EtwTiLogAllocExecVm` feuert sowohl auf dem Ex-Pfad als auch beim klassischen Aufruf. Sysmon unterscheidet die beiden nicht nativ; Korrelation mit NtWriteVirtualMemory / NtCreateThreadEx bleibt das günstigste Verhaltenssignal. EDRs, die nur NtAllocateVirtualMemory hooken, sehen das gar nicht — Hook-Coverage bei Purple-Team-Übungen auf beide Namen prüfen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtAllocateVirtualMemoryEx (SSN 0x78 on 24H2/2025)
NtAllocateVirtualMemoryEx PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 78h          ; SSN — RESOLVE DYNAMICALLY for multi-build targeting
    syscall
    ret
NtAllocateVirtualMemoryEx ENDP

// Allocate RWX page that CFG will not accept as a valid indirect call target.
// Then flip to RX before calling — defeats CFG-only mitigations.
#include <windows.h>

typedef NTSTATUS (NTAPI *pNtAllocateVirtualMemoryEx)(
    HANDLE, PVOID*, PSIZE_T, ULONG, ULONG, PMEM_EXTENDED_PARAMETER, ULONG);

PVOID  base = NULL;
SIZE_T size = 0x1000;
pNtAllocateVirtualMemoryEx Fn = (pNtAllocateVirtualMemoryEx)
    GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtAllocateVirtualMemoryEx");
Fn((HANDLE)-1, &base, &size,
   MEM_COMMIT | MEM_RESERVE,
   PAGE_EXECUTE_READWRITE | PAGE_TARGETS_INVALID,
   NULL, 0);

// Cargo: windows-sys = "0.59" (Win32_System_Memory)
use windows_sys::Win32::System::Memory::{
    VirtualAlloc2, MEM_COMMIT, MEM_RESERVE, PAGE_EXECUTE_READWRITE,
};

pub unsafe fn alloc_rwx(size: usize) -> *mut core::ffi::c_void {
    VirtualAlloc2(0, core::ptr::null_mut(), size,
                  MEM_COMMIT | MEM_RESERVE,
                  PAGE_EXECUTE_READWRITE,
                  core::ptr::null_mut(), 0)
}

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1620Reflective Code Loadingmitre ↗
• T1106Native APImitre ↗