NtCreateProfile

Prototyp

NTSTATUS NtCreateProfile(
  PHANDLE        ProfileHandle,
  HANDLE         Process,
  PVOID          ProfileBase,
  SIZE_T         ProfileSize,
  ULONG          BucketSize,
  PULONG         Buffer,
  ULONG          BufferSize,
  KPROFILE_SOURCE ProfileSource,
  KAFFINITY      Affinity
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1                  mov r10, rcx
B8 C2 00 00 00            mov eax, 0xC2
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Undokumentierte Hinweise

NtCreateProfile treibt zusammen mit NtStartProfile / NtStopProfile / NtSetIntervalProfile / NtQueryIntervalProfile den klassischen Sampling-Profiler des Kernels — dasselbe Backend, das vor Jahrzehnten KernRate antrieb und das heute noch von einigen PerfView- und WPR-Szenarien genutzt wird. Der Profiler hängt sich an den High-Resolution-Timer (oder eine Hardware-PMU-Quelle auf unterstützten CPUs) und inkrementiert bei jedem Tick den Histogramm-Bucket, der dem unterbrochenen RIP entspricht, sofern RIP innerhalb von [ProfileBase, ProfileBase + ProfileSize) liegt. Der Buffer-Zeiger kommt aus dem User-Mode, der Kernel schreibt aber direkt aus dem ISR-Kontext hinein — daher muss der Buffer resident bleiben (praktisch sollte der Aufrufer ihn VirtualLocken). Erfordert SeSystemProfilePrivilege für systemweites Profiling.

Häufige Malware-Nutzung

Echt schwaches offensives Signal. Die historischen Missbräuche sind eng: (1) akademische Side-Channel-Arbeiten, die Sampling-Profiler nutzten, um Kernel-Scheduler-Verhalten zu fingerprinten und Geheimnisse aus Opfer-Threads auf geteilten Kernen abzuleiten; (2) Nischen-Timing-Attack-PoCs, die `ProfileTotalIssues` missbrauchten, um Retired Instructions in fremden Code-Pfaden zu zählen. Keines davon hat in Commodity-Malware Einzug gehalten — die SeSystemProfilePrivilege-Anforderung und der ungewöhnliche Syscall-Footprint machen es unrentabler als QueryPerformanceCounter fürs Timing oder PMU-MSR-Zugriffe für feinkörnige Seitenkanäle. Überwiegend defensives Tooling-Terrain.

Erkennungs­möglichkeiten

Sehr geringe Hintergrundnutzung in User-Mode-Malware. Ein Nicht-Systemprozess, der NtCreateProfile aufruft, besonders mit `Process == NULL` (systemweit) und `ProfileSource != ProfileTime`, ist im Grunde nie gutartig. `SeSystemProfilePrivilege`-Vergaben so auditieren wie SeDebugPrivilege. Das Profilobjekt selbst ist unter `\KernelObjects` sichtbar und benannte Profile-Handles lassen sich via NtQueryObject aufzählen. EDR-Abdeckung ist dürftig — es ist einer der seltenen nativen Syscalls, die fast nichts hookt, weil fast nichts ihn aufruft.

Direkte Syscall-Beispiele

// Minimal NtCreateProfile + NtStartProfile sequence — defensive perf use.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *PNTCREATEPROFILE)(PHANDLE, HANDLE, PVOID, SIZE_T, ULONG,
                                           PULONG, ULONG, ULONG, ULONG_PTR);
typedef NTSTATUS (NTAPI *PNTSTARTPROFILE)(HANDLE);

void profile_self(PVOID base, SIZE_T size) {
    ULONG bucketShift = 2;                 // 4-byte buckets
    ULONG entries     = (ULONG)(size >> bucketShift);
    ULONG *buf        = (ULONG*)VirtualAlloc(NULL, entries * sizeof(ULONG),
                                             MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
    VirtualLock(buf, entries * sizeof(ULONG));

    HMODULE nt = GetModuleHandleA("ntdll.dll");
    PNTCREATEPROFILE pNtCreateProfile = (PNTCREATEPROFILE)GetProcAddress(nt, "NtCreateProfile");
    PNTSTARTPROFILE  pNtStartProfile  = (PNTSTARTPROFILE) GetProcAddress(nt, "NtStartProfile");

    HANDLE hProf = NULL;
    pNtCreateProfile(&hProf, GetCurrentProcess(), base, size, bucketShift,
                     buf, entries * sizeof(ULONG), 0 /* ProfileTime */, 0);
    pNtStartProfile(hProf);
}

NtCreateProfile PROC
    mov  r10, rcx
    mov  eax, 0C2h
    syscall
    ret
NtCreateProfile ENDP

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗