NtFreeVirtualMemory

Prototyp

NTSTATUS NtFreeVirtualMemory(
  HANDLE  ProcessHandle,
  PVOID  *BaseAddress,
  PSIZE_T RegionSize,
  ULONG   FreeType
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 1E 00 00 00      mov eax, 0x1E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtFreeVirtualMemory behält SSN `0x1E` über alle beobachteten Windows-10-/11-/Server-Builds. Es ist das natürliche Gegenstück zu NtAllocateVirtualMemory und dispatcht über MmFreeVirtualMemory. MEM_DECOMMIT erhält die VAD-Reservierung, gibt aber die physischen Seiten frei; MEM_RELEASE baut die gesamte Reservierung ab (verlangt RegionSize == 0 und BaseAddress identisch zur ursprünglichen Allocation-Basis).

Häufige Malware-Nutzung

Wird am *Ende* des Payload-Lebenszyklus eingesetzt statt am Anfang — Shellcode nach Ausführung löschen, damit ein nachfolgender Memory-Scan nur genullte oder unmappte Seiten findet. Die Technik wurde durch Gegenmaßnahmen im Stil von `Hunt-Sleeping-Beacons` populär: statt RWX-Seiten voll erkennbaren Beacon-Codes über lange Sleeps residenten zu lassen, allokieren moderne Loader, führen aus und NtFreeVirtualMemory die Region (oder NtProtectVirtualMemory auf PAGE_NOACCESS, verschlüsseln, beim Aufwachen re-schützen). Auch von Hollowing-Implementierungen genutzt, um das im PEB verankerte Original-Image-Mapping vor dem Remapping eines bösartigen Image freizugeben.

Erkennungs­möglichkeiten

Standalone-Aufrufe sind extrem rauschig. Interessante Muster: kurze MEM_COMMIT|EXECUTE → Ausführung → MEM_RELEASE-Sequenzen (sichtbar via ETW-Threat-Intelligence-Memory-Events ab Win10 2004) und Frees auf Regionen, deren VAD kürzliche Wechsel zu PAGE_EXECUTE_READWRITE zeigt. Ein Free der ursprünglichen Image-Basis in einem Prozess, dessen Start-Image vom On-Disk-Image abweicht, ist ein starker Process-Hollowing-Indikator.

Direkte Syscall-Beispiele

; Direct syscall stub for NtFreeVirtualMemory (SSN 0x1E, all builds)
NtFreeVirtualMemory PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1Eh          ; SSN
    syscall
    ret
NtFreeVirtualMemory ENDP

// Allocate, run, then free — defeats post-mortem memory scans.
PVOID  base = NULL;
SIZE_T size = shellcode_len;
NtAllocateVirtualMemory(NtCurrentProcess(), &base, 0, &size,
                        MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
memcpy(base, shellcode, shellcode_len);

ULONG old;
NtProtectVirtualMemory(NtCurrentProcess(), &base, &size,
                       PAGE_EXECUTE_READ, &old);
((void(*)(void))base)();

// Zero before unmap to defeat free-list residue grabs.
RtlSecureZeroMemory(base, shellcode_len);
SIZE_T zero = 0;
NtFreeVirtualMemory(NtCurrentProcess(), &base, &zero, MEM_RELEASE);

// Cargo: ntapi = "0.4", windows-sys = "0.59"
use ntapi::ntmmapi::NtFreeVirtualMemory;
use windows_sys::Win32::System::Memory::MEM_RELEASE;

pub struct VirtualRegion { base: *mut core::ffi::c_void, len: usize }

impl Drop for VirtualRegion {
    fn drop(&mut self) {
        let mut base = self.base;
        let mut len: usize = 0; // MEM_RELEASE requires 0
        unsafe {
            NtFreeVirtualMemory(-1isize as _, &mut base, &mut len, MEM_RELEASE);
        }
    }
}

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1027.009Obfuscated Files or Information: Embedded Payloadsmitre ↗
• T1106Native APImitre ↗