NtFlushVirtualMemory

Prototyp

NTSTATUS NtFlushVirtualMemory(
  HANDLE           ProcessHandle,
  PVOID           *BaseAddress,
  PSIZE_T          RegionSize,
  PIO_STATUS_BLOCK IoStatus
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 F4 00 00 00      mov eax, 0xF4      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Gegenstück zu `FlushViewOfFile` für Sections, die durch eine echte On-Disk-Datei gestützt sind. Der Kernel läuft die PTEs des angeforderten Bereichs ab, sammelt Dirty Pages und löst Paging-IO zum darunterliegenden Dateisystem aus — bei einer Memory-Mapped File entspricht das einem `fsync` nur des dirty-Teilsatzes. Für Pagefile-gestützte oder PAGE_NOACCESS-Regionen ist der Aufruf effektiv ein No-op. Das Feld `IoStatus.Information` enthält die tatsächlich geschriebene Bytezahl.

Häufige Malware-Nutzung

Eingesetzt in Persistenz- und Ransomware-Ketten, die On-Disk-Artefakte über eine Memory-Mapped View statt über `WriteFile` ändern: der Angreifer mappt eine ausführbare Datei, eine INI, ein Scheduled-Task-XML oder die LSA-Notification-Package-Liste mit `PAGE_READWRITE`, patcht die Bytes und ruft `NtFlushVirtualMemory` auf, um den Schreibvorgang *jetzt* zu erzwingen, statt auf den Lazy Writer zu warten — wichtig, wenn die nächste Stufe (Reboot, Service-Neustart oder unmittelbares Exec) die On-Disk-Änderung sehen muss. Auch zu sehen in `MiniDumpWriteDump`-artigen Credential-Theft-Ketten, die die Dump-Datei in-place mappen und editieren. Einige Ransomware-Familien rufen den Syscall an, um sicherzustellen, dass die verschlüsselten Bytes die Platte erreichen, bevor sie Shadow Copies löschen und einen erzwungenen Reboot auslösen.

Erkennungs­möglichkeiten

Sysmon Event 11 (FileCreate) feuert beim Flush nicht — die Datei existiert bereits. Die zuverlässigste Telemetrie ist das ETW-Event `Microsoft-Windows-Kernel-FileIO` `FileIo/OperationEnd` für `WRITE`-Operationen, deren `IrpFlags` Paging-IO anzeigen, korreliert zu einem Prozess, der kürzlich eine schreibbare Section über eine sensible Datei (ausführbare Datei in `\System32`, Scheduled-Task-XML, durch `ImagePath` in `\Registry\Machine\System\CurrentControlSet\Services\*` referenzierte Binärdatei) erhalten hat. EDRs, die `NtCreateSection` gegen hochwertige Pfade hooken und nachfolgende `NtFlushVirtualMemory`-Aufrufe gegen diese Views verfolgen, erfassen das In-place-Patch-Muster.

Direkte Syscall-Beispiele

// Persistence helper: patch C:\Windows\System32\target.exe in place.
HANDLE hFile = CreateFileW(L"C:\\Windows\\System32\\target.exe",
    GENERIC_READ | GENERIC_WRITE, FILE_SHARE_READ,
    NULL, OPEN_EXISTING, 0, NULL);

HANDLE hMap = CreateFileMappingW(hFile, NULL, PAGE_READWRITE, 0, 0, NULL);
PVOID  view = MapViewOfFile(hMap, FILE_MAP_WRITE, 0, 0, 0);

PatchEntryPoint(view);  // overwrite a few bytes

SIZE_T regionSize = /* SizeOfImage rounded up */ 0;
IO_STATUS_BLOCK iosb;
NTSTATUS s = NtFlushVirtualMemory(
    NtCurrentProcess(),
    &view,
    &regionSize,
    &iosb);
// iosb.Information now holds the number of bytes written back.

; NtFlushVirtualMemory direct stub — SSN 0xF4 on Win11 24H2
NtFlushVirtualMemory PROC
    mov  r10, rcx
    mov  eax, 0F4h
    syscall
    ret
NtFlushVirtualMemory ENDP

use ntapi::ntmmapi::NtFlushVirtualMemory;
use winapi::shared::ntdef::HANDLE;
use winapi::shared::ntdef::PVOID;
use winapi::um::winnt::IO_STATUS_BLOCK;
use std::{mem, ptr::null_mut};

unsafe fn flush(view: PVOID, mut size: usize) -> usize {
    let mut base = view;
    let mut iosb: IO_STATUS_BLOCK = mem::zeroed();
    let s = NtFlushVirtualMemory(
        -1isize as HANDLE,
        &mut base,
        &mut size,
        &mut iosb,
    );
    assert!(s >= 0);
    *iosb.Information() as usize
}

MITRE ATT&CK-Mappings

• T1547Boot or Logon Autostart Executionmitre ↗
• T1027Obfuscated Files or Informationmitre ↗
• T1106Native APImitre ↗