NtCreateDirectoryObject

Prototyp

NTSTATUS NtCreateDirectoryObject(
  PHANDLE            DirectoryHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 AC 00 00 00      mov eax, 0xAC
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Die SSN driftet stetig — `0x9B` auf 1507 bis `0xAC` auf Win11 24H2 — direkte Syscall-Stubs für NtCreateDirectoryObject über mehrere Builds brauchen dynamische Auflösung. Der Kernel-Object-Manager organisiert benannte Objekte in einem `Directory`-Baum mit Wurzel `\` (globaler Root). Standardkinder: `\BaseNamedObjects` (Session-0-IPC), `\Sessions\<n>\BaseNamedObjects` (per-Session-IPC, wo die meisten User-Mode-Events/Mutants leben), `\??` (DOS-Device-Link-Verzeichnis des aktuellen Prozesses), `\KnownDlls`, `\Device`, `\Driver`. NtCreateDirectoryObject erlaubt einem Aufrufer (mit passendem Zugriff), neue Unterverzeichnisse anzulegen — nur der globale Root verlangt SeCreatePermanentPrivilege für OBJ_PERMANENT.

Häufige Malware-Nutzung

Drei offensive Winkel. **Sandbox-Escape-Vorbereitung**: viele User-Mode-Sandboxes virtualisieren den BNO-Namensraum, indem sie dem sandboxed-Prozess einen privaten Root `\Sessions\<n>\AppContainerNamedObjects\<sid>` geben; ein Verzeichnis dort oder daneben anzulegen ist ein Schritt in Container-Escape-Ketten. **C2 / Implant-Rendezvous**: mehrere Implants in derselben Session legen ein gemeinsames Unterverzeichnis unter `\Sessions\<n>\BaseNamedObjects\<random>` an und nutzen es als Discovery-Board für benannte Events und ALPC-Port-Symlinks — unsichtbar auf Disk und für die meisten EDRs, die nur Filesystem und Registry beobachten. **Escape via geplanteter Symlink**: NtCreateDirectoryObject mit NtCreateSymbolicLinkObject kombinieren, um ein gefälschtes Namensraum-Verzeichnis mit Redirect-Links zu überlagern (CVE-2019-0808-Familie, AppContainer-Escape-Forschung von James Forshaw / Project Zero).

Erkennungs­möglichkeiten

Object-Manager-Namespace-Erzeugung wird von Sysmon nicht emittiert. Autoritative Quelle ist kernelseitiges ObRegisterCallbacks auf `IoDirectoryObjectType` (`ObGetObjectType(L"Directory")`) oder der Provider ETW Microsoft-Windows-Kernel-Audit-API-Calls. Stärkstes Signal: **ein Nicht-System-, Nicht-CSRSS-Prozess legt ein Verzeichnis unter `\Sessions\<n>\BaseNamedObjects` mit OBJ_PERMANENT oder direkt unter `\` mit OBJ_OPENIF an**. Sysinternals WinObj oder `tools\objview` für Hunting; Defensivprodukte wie SpecterOps `ObjectExplorer` automatisieren dieselbe Enumeration. Auch auf Prozesse achten, die ein Verzeichnis anlegen und sofort einen Symlink darin erzeugen — starke Korrelation mit Namensraum-Redirection-Missbrauch.

Direkte Syscall-Beispiele

; Direct syscall stub for NtCreateDirectoryObject (SSN 0xAC, Win11 24H2)
NtCreateDirectoryObject PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0ACh         ; SSN (BUILD-SPECIFIC, resolve dynamically)
    syscall
    ret
NtCreateDirectoryObject ENDP

// Plant \Sessions\<n>\BaseNamedObjects\Acme to act as a per-session
// inter-implant rendezvous. Named events and ALPC ports go in here.
#include <windows.h>
#include <winternl.h>

#define DIRECTORY_ALL_ACCESS (STANDARD_RIGHTS_REQUIRED | 0xF)
#define OBJ_CASE_INSENSITIVE 0x00000040

typedef NTSTATUS (NTAPI *pNtCreateDirectoryObject)(
    PHANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES);

HANDLE CreateRendezvousDir(PCWSTR fullPath) {
    pNtCreateDirectoryObject NtCreateDirectoryObject = (pNtCreateDirectoryObject)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtCreateDirectoryObject");
    UNICODE_STRING us;
    RtlInitUnicodeString(&us, fullPath);
    OBJECT_ATTRIBUTES oa;
    InitializeObjectAttributes(&oa, &us, OBJ_CASE_INSENSITIVE, NULL, NULL);
    HANDLE hDir = NULL;
    if (NT_SUCCESS(NtCreateDirectoryObject(&hDir, DIRECTORY_ALL_ACCESS, &oa)))
        return hDir;
    return NULL;
}

// Cargo: ntapi = "0.4", widestring = "1"
// Create an overlay directory that we will later populate with a symbolic
// link redirecting \??\X: to a sensitive path. Combined with the symlink call
// this is the standard pattern for namespace-redirection sandbox escape PoCs.
use ntapi::ntobapi::NtCreateDirectoryObject;
use ntapi::ntrtl::RtlInitUnicodeString;
use ntapi::ntobapi::OBJ_CASE_INSENSITIVE;
use winapi::shared::ntdef::{OBJECT_ATTRIBUTES, UNICODE_STRING};
use widestring::U16CString;

pub unsafe fn create_overlay(path: &str) -> Option<isize> {
    let w = U16CString::from_str(path).ok()?;
    let mut us: UNICODE_STRING = std::mem::zeroed();
    RtlInitUnicodeString(&mut us, w.as_ptr());
    let mut oa: OBJECT_ATTRIBUTES = std::mem::zeroed();
    oa.Length = std::mem::size_of::<OBJECT_ATTRIBUTES>() as u32;
    oa.ObjectName = &mut us;
    oa.Attributes = OBJ_CASE_INSENSITIVE;
    let mut h: isize = 0;
    let s = NtCreateDirectoryObject(&mut h as *mut _ as _, 0xF000F, &mut oa);
    if s >= 0 { Some(h) } else { None }
}

MITRE ATT&CK-Mappings

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗