NtCloseObjectAuditAlarm

Prototyp

NTSTATUS NtCloseObjectAuditAlarm(
  PUNICODE_STRING SubsystemName,
  PVOID           HandleId,
  BOOLEAN         GenerateOnClose
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 3B 00 00 00      mov eax, 0x3B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Erzeugt das Security-Event 4658 ("Das Handle zu einem Objekt wurde geschlossen"). Es muss aufgerufen werden, wenn ein vorheriger NtAccessCheck*AuditAlarm-Aufruf GenerateOnClose=TRUE lieferte, damit das Open/Close-Paar im Security-Log korrekt korreliert wird. Die Funktion wird von NtClose *nicht* automatisch aufgerufen — das auditierte Subsystem (LSASS, SAM, SCM, SACL-bewusste Drittanbieter-Dienste) ist für die Buchführung verantwortlich. Fehlende Close-Events zu einem bekannt offenen auditierten Handle deuten entweder auf einen unsauberen Prozess-Exit (Handle vom Kernel ohne Subsystem-Notification eingezogen) oder aktives Log-Tampering. SSN `0x3B` ist seit Windows 10 1507 stabil.

Häufige Malware-Nutzung

Im Wesentlichen null. Der Syscall ist eine Logging-Primitive — sein Aufruf fügt Security-Log-Einträge hinzu, das Gegenteil dessen, was Malware will. Keine Commodity-Familie ist als Aufrufer beobachtet. Die interessante Richtung ist das *fehlende* 4658: ein 4656 (Open) ohne passendes 4658 in derselben Sitzung ist ein Hoch-Konfidenz-Indikator für Audit-Subsystem-Störung (oft via Stoppen des EventLog-Dienstes oder Überlauf des Kanals durch NtFlushKey + Registry-Druck).

Erkennungs­möglichkeiten

Jedes 4656 (Handle mit SACL-überwachtem Zugriff angefordert) mit einem 4658 (Handle geschlossen) paaren. Die Latenzverteilung wird von kurzlebigen Handles dominiert (< 1s bei Dateien, < 100ms bei Registry-Keys). Persistentes 4656-ohne-4658 auf SACL-Objekten (LSASS-Prozess, AdminSDHolder, Defender-Registry-Keys) ist ein starkes Tampering-Signal. Sysmon Event ID 13 (Registry-Wert gesetzt) und 16 (Sysmon-Config geändert) plus EVENT_TRACE_FLAG_REGISTRY ETW liefern parallele Telemetrie, die nicht vom Security-Kanal selbst abhängt.

Direkte Syscall-Beispiele

; Direct syscall stub for NtCloseObjectAuditAlarm (SSN 0x3B, Win10 1507+)
NtCloseObjectAuditAlarm PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 3Bh          ; SSN
    syscall
    ret
NtCloseObjectAuditAlarm ENDP

// Bookkeeping pattern used by SACL-aware services.
UNICODE_STRING sub = RTL_CONSTANT_STRING(L"Security");
BOOLEAN gen_on_close = FALSE;
ACCESS_MASK granted = 0;
NTSTATUS access_status = STATUS_ACCESS_DENIED;

NtAccessCheckByTypeAndAuditAlarm(
    &sub, (PVOID)hHandleId,
    &type_name, &obj_name,
    pSd, NULL,
    FILE_GENERIC_READ,
    AuditEventObjectAccess, 0,
    pObjectTypeList, otl_len,
    &g_FileMapping, FALSE,
    &granted, &access_status, &gen_on_close);

// ... use the handle ...

if (gen_on_close) {
    NtCloseObjectAuditAlarm(&sub, (PVOID)hHandleId, TRUE);
    // -> Security event 4658 with the same HandleId for correlation.
}
NtClose(hFile);

use windows_sys::Win32::Security::Authorization::ObjectCloseAuditAlarmW;

unsafe {
    let ok = ObjectCloseAuditAlarmW(
        windows_sys::w!("Security"),
        handle_id as *mut _,
        gen_on_close as i32,
    );
    // ok != 0 -> 4658 emitted.
}

MITRE ATT&CK-Mappings

• T1562.002Impair Defenses: Disable Windows Event Loggingmitre ↗
• T1106Native APImitre ↗