NtFreeUserPhysicalPages

Prototyp

NTSTATUS NtFreeUserPhysicalPages(
  HANDLE     ProcessHandle,
  PULONG_PTR NumberOfPages,
  PULONG_PTR UserPfnArray
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1                  mov r10, rcx
B8 F6 00 00 00            mov eax, 0xF6
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Undokumentierte Hinweise

Das Cleanup-Pendant zu `NtAllocateUserPhysicalPages`. Läuft das PFN-Array durch, dekrementiert den Referenzzähler jeder Seite in der System-PFN-Datenbank und führt die Seiten an Standby-/Free-List zurück. Seiten, die noch über `NtMapUserPhysicalPages` gemappt sind, werden zuvor aus dem Adressraum-Fenster des Aufrufers entkoppelt. Wie der Allocator-Zwilling verlangt der Aufruf, dass der Prozess `SeLockMemoryPrivilege` aktuell besitzt oder zum Zeitpunkt der Allokation besessen hat — der Kernel speichert den Ursprungs-Token bei der Allokation und nutzt ihn für Eigentumsprüfungen. `NtFreeUserPhysicalPages` auf PFN-Werten, die nicht aus demselben Allocator stammen, gibt `STATUS_INVALID_PARAMETER_3` zurück, ohne Systemzustand zu berühren.

Häufige Malware-Nutzung

Minimaler direkter offensiver Wert — er ist rein der Destruktor eines ohnehin seltenen Allokationspfads. Auftauchend dort, wo es um **Anti-Forensik-Cleanup** geht: Implants, die Shellcode in AWE-gesicherten nicht-pageable Seiten staged haben (um Memory-Pressure-Swap-Captures zu überleben), rufen `NtFreeUserPhysicalPages` direkt vor dem Beenden des Implants, damit eine Post-Incident-`vmcore`- oder Hibernation-File-Analyse keine residualen nicht-pageable Regionen mit Bezug zum toten Prozess findet. Auch in **Kernel-R/W-Primitiv-Teardown**-Ketten zu sehen, in denen der Angreifer AWE-Seiten allokiert, um Kernel-Speicher über einen verwundbaren Treiber zu aliasen, und sie dann freigibt, um die einzige persistente forensische Spur zu beseitigen. Commodity-Malware nutzt es praktisch nie.

Erkennungs­möglichkeiten

Spiegelbild des Allocator-Signals — gepaarte Aufrufe von `NtAllocateUserPhysicalPages` und `NtFreeUserPhysicalPages` aus demselben Nicht-DB-Server-Prozess sind das hochrelevante Indiz, besonders bei kurzer Lebensdauer (allokieren → mappen → ausführen → freigeben innerhalb derselben Sekunde). Sysmon Event ID 1 für den Eltern-Prozess kombiniert mit dem Kernel-ETW-Event `Microsoft-Windows-Kernel-Memory` 14 (Familie `PfnPageRelease`) erlaubt die Lifecycle-Rekonstruktion. Das `SeLockMemoryPrivilege`-Audit (Event 4673) feuert normalerweise nur auf dem Allokationspfad; sieht man einen freigebenden Prozess, ohne dass das Audit-Log einen entsprechenden Grant zeigt, war das Privileg im Eltern-Token bereits aktiviert — Herkunft prüfen.

Direkte Syscall-Beispiele

// Pair with the NtAllocateUserPhysicalPages example: tear down the AWE working
// set so that the shellcode-bearing physical pages are returned to the free list
// before the implant exits.
#include <windows.h>

void awe_free(ULONG_PTR* pfn, SIZE_T pages, PVOID windowBase) {
    // First unmap from the window so no live VAD references the PFNs.
    MapUserPhysicalPages(windowBase, pages, NULL);
    VirtualFree(windowBase, 0, MEM_RELEASE);

    ULONG_PTR n = pages;
    FreeUserPhysicalPages(GetCurrentProcess(), &n, pfn);
    // Wrapper resolves to NtFreeUserPhysicalPages internally.
}

NtFreeUserPhysicalPages PROC
    mov  r10, rcx
    mov  eax, 0F6h
    syscall
    ret
NtFreeUserPhysicalPages ENDP

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗
• T1070Indicator Removalmitre ↗