NtExtendSection

Prototyp

NTSTATUS NtExtendSection(
  HANDLE         SectionHandle,
  PLARGE_INTEGER NewSectionSize
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 EB 00 00 00      mov eax, 0xEB      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Erweitert die maximale committbare Größe eines Section-Objekts. Erweiterbar sind typischerweise nur Sections, die mit `SEC_RESERVE` erzeugt wurden, oder pagefile-gestützte Sections (`SEC_COMMIT` ohne Datei-Handle) — Image-Sections (`SEC_IMAGE`) sind es nicht. Bei einer dateigestützten Section ohne `SEC_RESERVE` darf die neue Größe die Größe der Backing-Datei nicht überschreiten. Der Kernel rundet die angeforderte Größe auf die nächste Seitengrenze auf und schreibt sie über `NewSectionSize` zurück.

Häufige Malware-Nutzung

Genutzt von Shellcode-Loadern, die das Payload schrittweise aufbauen, ohne die Endgröße vorab zu committen. Der Loader erzeugt eine kleine pagefile-gestützte `SEC_RESERVE`-Section, mappt eine View, schreibt die erste Stufe und ruft anschließend `NtExtendSection` auf, sobald die Größe der zweiten Stufe bekannt ist, um danach eine größere View neu zu mappen — so wird eine frühe RWX-Allokation in voller Endgröße vermieden. Erscheint auch in Shared-Buffer-IPC-Kanälen zwischen kooperierenden Implants, die dynamisch wachsen. Für sich genommen kein häufiger IOC, kombiniert mit `SEC_COMMIT`-Pagefile-Sections und Remote-Process-Mapping bildet es aber das Rückgrat speicherbasierter Loader, die niemals die Platte berühren.

Erkennungs­möglichkeiten

Kein dediziertes ETW-Event. Erkennung über die Kombination `NtCreateSection` einer `SEC_RESERVE`-Pagefile-Section, gefolgt von `NtExtendSection`, gefolgt von `NtMapViewOfSection(Ex)` mit `PAGE_EXECUTE_*`-Schutz im selben Prozess innerhalb kurzer Zeit. EDRs, die `NtMapViewOfSection` hooken, können ausführbare Mappings pagefile-gestützter Sections markieren — eine Kombination, die außerhalb von JIT-Engines und einigen Datenbankservern praktisch nicht in legitimen Anwendungen vorkommt.

Direkte Syscall-Beispiele

// Initial 4 KiB reserve.
LARGE_INTEGER initialSize; initialSize.QuadPart = 0x1000;
HANDLE hSection;
NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, &initialSize,
                PAGE_EXECUTE_READWRITE, SEC_RESERVE, NULL);

// ... map, write stage 1 ...

// Now grow to 1 MiB to fit stage 2 + relocations.
LARGE_INTEGER newSize; newSize.QuadPart = 0x100000;
NTSTATUS s = NtExtendSection(hSection, &newSize);
// newSize.QuadPart is updated to the actual rounded value.

; NtExtendSection direct stub — SSN 0xEB on Win11 24H2
NtExtendSection PROC
    mov  r10, rcx
    mov  eax, 0EBh
    syscall
    ret
NtExtendSection ENDP

use ntapi::ntmmapi::NtExtendSection;
use winapi::shared::ntdef::{HANDLE, LARGE_INTEGER};
use std::mem;

unsafe fn extend(section: HANDLE, new_bytes: i64) -> i64 {
    let mut li: LARGE_INTEGER = mem::zeroed();
    *li.QuadPart_mut() = new_bytes;
    let s = NtExtendSection(section, &mut li);
    assert!(s >= 0);
    *li.QuadPart()
}

MITRE ATT&CK-Mappings

• T1620Reflective Code Loadingmitre ↗
• T1106Native APImitre ↗