NtCreateMailslotFile

Prototyp

NTSTATUS NtCreateMailslotFile(
  PHANDLE            FileHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  PIO_STATUS_BLOCK   IoStatusBlock,
  ULONG              CreateOptions,
  ULONG              MailslotQuota,
  ULONG              MaximumMessageSize,
  PLARGE_INTEGER     ReadTimeout
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 B9 00 00 00      mov eax, 0xB9
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Mailslots sind eine verbindungslose, einseitige IPC — der *Server* erstellt den Slot via NtCreateMailslotFile und liest eingehende Datagramme; *Clients* öffnen einfach `\\<Host>\mailslot\<Name>` mit NtOpenFile/NtCreateFile und schreiben darauf. Sie sind älter als Named Pipes und werden von mailslot.sys / mrxsmb.sys implementiert (Cross-Host-Zustellung läuft über SMB). Nachrichten lassen sich an einen domänenweiten Namen broadcasten (`\\*\mailslot\foo`), allerdings ist dieser Pfad in modernen Domains stark eingeschränkt. Maximale Cross-Network-Nachrichtengröße: 424 Bytes; rein lokale Mailslots können viel größer sein.

Häufige Malware-Nutzung

Mailslots sind eine *OPSEC-vorteilhafte* IPC, weil kaum eine moderne Security-Stack sie inspiziert. Cobalt Strike bot historisch einen Mailslot-SMB-Transport für Beacon-zu-Beacon-Zustellung — geringere Fidelität als Named Pipes, aber für EDRs, die NtCreateNamedPipeFile / FltMgr-Name-Callbacks für Pipes hooken, weitgehend unsichtbar. Heutige Nischennutzung: verdeckte lokale IPC zwischen kooperierenden Implants in einer Lateral-Movement-Kette, wo Named Pipes sofort Sysmon Event 17/18 ziehen würden. Echte Nennung in modernen Malware-Familien ist selten; der asymmetrische Detection-Gap ist der Hauptreiz.

Erkennungs­möglichkeiten

Detection ist tatsächlich dünn. Sysmon hat kein MailslotEvent (Event 17 / 18 decken nur Named Pipes ab). ETW Microsoft-Windows-Kernel-File liefert Create-Events mit `\Device\Mailslot\`-Pfad — Regeln gegen dieses Präfix in EDR-File-Create-Hooks schreiben. CmRegisterCallbackEx greift nicht (keine Registry); der richtige Hookpunkt ist FltRegisterFilter gegen die mailslot.sys-Minifilter-Kette des Dateisystems. Hunt-Query: jeder Prozess, der ein Objekt unter `\Device\Mailslot\` außerhalb von `lsass.exe` (NETLOGON), `services.exe` oder `winlogon.exe` erstellt, ist untersuchungswürdig.

Direkte Syscall-Beispiele

// Creates \\.\mailslot\implant_chan as a passive receiver.
UNICODE_STRING name;
RtlInitUnicodeString(&name, L"\\??\\mailslot\\implant_chan");

OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

IO_STATUS_BLOCK iosb;
HANDLE hSlot = NULL;

NTSTATUS st = NtCreateMailslotFile(
    &hSlot,
    GENERIC_READ | SYNCHRONIZE,
    &oa,
    &iosb,
    0,        // CreateOptions
    0,        // MailslotQuota — system default
    1024,     // MaximumMessageSize
    NULL      // ReadTimeout — wait forever
);

NtCreateMailslotFile PROC
    mov  r10, rcx
    mov  eax, 0B9h
    syscall
    ret
NtCreateMailslotFile ENDP

// Cargo: windows-sys = "0.59" (Win32_Storage_FileSystem, Win32_Foundation)
use windows_sys::Win32::Storage::FileSystem::*;
let h = unsafe {
    CreateMailslotW(
        w!("\\\\.\\mailslot\\implant_chan"),
        1024,                       // nMaxMessageSize
        MAILSLOT_WAIT_FOREVER,      // lReadTimeout
        null_mut(),                 // lpSecurityAttributes
    )
};
// CreateMailslotW funnels into NtCreateMailslotFile.

MITRE ATT&CK-Mappings

• T1559Inter-Process Communicationmitre ↗
• T1071Application Layer Protocolmitre ↗
• T1106Native APImitre ↗