NtFilterToken

Prototyp

NTSTATUS NtFilterToken(
  HANDLE          ExistingTokenHandle,
  ULONG           Flags,
  PTOKEN_GROUPS   SidsToDisable,
  PTOKEN_PRIVILEGES PrivilegesToDelete,
  PTOKEN_GROUPS   RestrictedSids,
  PHANDLE         NewTokenHandle
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 ED 00 00 00      mov eax, 0xED
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtFilterToken ist die Kernel-Implementierung hinter advapi32!CreateRestrictedToken. Aus einem Quell-Token wird ein neues Primary- oder Impersonation-Token erzeugt, in dem ausgewählte SIDs auf deny-only gesetzt, ausgewählte Privilegien entfernt und optional *Restricted SIDs* angehängt sind. Restricted SIDs sind mächtig: bei jeder Access Check UND-verknüpft der Kernel den gewährten Zugriff mit dem, was die Restricted-SID-Liste allein erlaubt hätte; das resultierende Token kann so weit unter die normalen Benutzerrechte gedrückt werden. Die SSN driftet bei nahezu jedem Feature-Update (`0xD5` auf Win10 1507, `0xED` auf Win11 24H2), dynamische Auflösung ist daher Pflicht.

Häufige Malware-Nutzung

Wird legitim von den Chromium-/Edge-/Acrobat-Sandboxes und von AppContainer-Brokern genutzt. Offensiver Einsatz existiert, ist aber seltener: ein Angreifer mit hochprivilegiertem Token (SYSTEM oder ein imitierter Benutzer mit SeDebugPrivilege) kann einen Kindprozess oder Impersonation-Kontext bewusst *herabstufen*, damit er wie ein gering privilegierter Benutzer aussieht — eine Form von Token Demotion, die Detektionen umgeht, die auf „SYSTEM hat X getan" basieren. Einige Red-Team-Frameworks und wenige Forschungs-Samples wrappen NtFilterToken genau aus diesem Grund. Allein ist es *kein* starkes Offensiv-Signal.

Erkennungs­möglichkeiten

Token-Event-Abdeckung ist der richtige Einstieg: die Events 4696/4624 in Microsoft-Windows-Security-Auditing zeigen Logon-Token-Wechsel, und ETW Microsoft-Windows-Kernel-Audit-API-Calls deckt Token-Erzeugung ab. EDRs hooken NtFilterToken üblicherweise, um Token-Ableitungsgraphen zu füttern. Nützliches Blue-Team-Signal: NtFilterToken aufgerufen *mit* einem hochprivilegierten Quell-Token *aus* einem unüblichen Prozess (kein Browser, kein Broker). Kombinieren mit nachfolgendem NtCreateUserProcess + AssignPrimaryToken, um gezielte Token Demotion vor Kindprozessstart zu erkennen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtFilterToken (SSN 0xED on Win11 24H2 / Server 2025)
NtFilterToken PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0EDh         ; SSN for win11-24h2
    syscall
    ret
NtFilterToken ENDP

// Take the current process token and produce a filtered copy with SeDebugPrivilege
// and SeImpersonatePrivilege removed — useful for spawning a less-suspicious child.
HANDLE hCurrent = NULL;
NtOpenProcessToken(NtCurrentProcess(), TOKEN_DUPLICATE | TOKEN_QUERY, &hCurrent);

LUID seDebug, seImpersonate;
LookupPrivilegeValueW(NULL, L"SeDebugPrivilege", &seDebug);
LookupPrivilegeValueW(NULL, L"SeImpersonatePrivilege", &seImpersonate);

struct {
    DWORD            Count;
    LUID_AND_ATTRIBUTES Priv[2];
} toDelete = { 2, {{seDebug, 0}, {seImpersonate, 0}} };

HANDLE hFiltered = NULL;
NtFilterToken(hCurrent,
              DISABLE_MAX_PRIVILEGE,   // also strip every non-mandatory privilege
              NULL,                    // SidsToDisable
              (PTOKEN_PRIVILEGES)&toDelete,
              NULL,                    // RestrictedSids
              &hFiltered);

// Cargo: windows-sys = "0.59"  (Win32_Security)
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_filter_token_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0xED",     // Win11 24H2; resolve dynamically for other builds
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1134Access Token Manipulationmitre ↗
• T1134.002Create Process with Tokenmitre ↗
• T1106Native APImitre ↗