NtDeleteObjectAuditAlarm

Prototyp

NTSTATUS NtDeleteObjectAuditAlarm(
  PUNICODE_STRING SubsystemName,
  PVOID           HandleId,
  BOOLEAN         GenerateOnClose
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 DD 00 00 00      mov eax, 0xDD
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Erzeugt das Security-Event 4660 ("Ein Objekt wurde gelöscht"). Das auditierte Subsystem ruft diesen Syscall nach erfolgreicher Lösch-Operation an einem SACL-überwachten Objekt auf, damit das Security-Log einen expliziten Lösch-Eintrag trägt (das Open/Close-Paar allein unterscheidet ein normales Schließen nicht von einer Löschung). 4660 ist das kanonische Event, das Incident-Responder mit 4663 (DELETE-Zugriff ausgeübt) und 4656 (Open mit DELETE) auf derselben HandleId korrelieren, um die zerstörerische Aktivität eines Angreifers vollständig zu rekonstruieren. SSN `0xDD` auf Win11 24H2 (und entsprechende Werte auf früheren Builds — einer der wenigen Audit-Alarm-Syscalls, dessen SSN driftet, weil er alphabetisch in die umnummerierte Gruppe einsortiert wird).

Häufige Malware-Nutzung

Keine in Commodity-Malware beobachtet. Zerstörerische Operationen von Ransomware/Wipern (Conti, Royal, AcidRain) rufen NtDeleteObjectAuditAlarm nie auf — sie rufen NtSetInformationFile mit FileDispositionInformation oder direkt NtDeleteFile auf und überlassen es dem Object Manager, die SACL anzuwenden oder nicht. Ob 4660 feuert, hängt vollständig von der Nutzung des *auditierten Subsystem-Pfads* ab; ein Umgehen des Win32-Wrappers heißt kein 4660. Genau deshalb sollten Verteidiger sich nicht ausschließlich auf 4660 für Ransomware-Detection verlassen — File-System-Mini-Filter-Telemetrie (FltMgr-ETW-Provider, EDR-File-Write-Hooks) ist zuverlässiger.

Erkennungs­möglichkeiten

Event 4660 muss mit einem 4663 (DELETE-Zugriff gewährt) und einem vorausgehenden 4656 mit derselben HandleId gepaart werden, um zu rekonstruieren, wer was löschte. Auf SACL-überwachten Shadow-Copy-Stores, den Registry-Hives unter HKLM\SECURITY und den Defender-Konfigurations-Keys sind 4660-Peaks direkte Ransomware-Indikatoren. Fehlende 4660 bei massiver Datei-Löschung (über Sysmon Event ID 23 beobachtbar) impliziert, dass der Lösch-Pfad das Audit-Alarm-Subsystem umging — für sich ein starkes Signal eines sophistizierten Akteurs (T1070.004).

Direkte Syscall-Beispiele

; Direct syscall stub for NtDeleteObjectAuditAlarm (SSN 0xDD, Win11 24H2)
NtDeleteObjectAuditAlarm PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0DDh         ; SSN
    syscall
    ret
NtDeleteObjectAuditAlarm ENDP

// Service holding the handle has just performed a privileged delete via
// NtSetInformationFile(FileDispositionInformation). Now record the 4660.
UNICODE_STRING sub = RTL_CONSTANT_STRING(L"Security");

NTSTATUS s = NtDeleteObjectAuditAlarm(
    &sub,
    (PVOID)hHandleId,   // same value used in the matching NtAccessCheck*AuditAlarm call
    TRUE);              // matches the GenerateOnClose flag returned earlier

// Resulting Security event 4660 carries object DN/path and the deleting subject.
NtClose(hFile);

use windows_sys::Win32::Security::Authorization::ObjectDeleteAuditAlarmW;

unsafe {
    let ok = ObjectDeleteAuditAlarmW(
        windows_sys::w!("Security"),
        handle_id as *mut _,
        gen_on_close as i32,
    );
    // ok != 0 -> 4660 emitted (subject to "Audit Object Access" policy).
}

MITRE ATT&CK-Mappings

• T1562.002Impair Defenses: Disable Windows Event Loggingmitre ↗
• T1070.004Indicator Removal: File Deletionmitre ↗