NtFsControlFile

Prototyp

NTSTATUS NtFsControlFile(
  HANDLE           FileHandle,
  HANDLE           Event,
  PIO_APC_ROUTINE  ApcRoutine,
  PVOID            ApcContext,
  PIO_STATUS_BLOCK IoStatusBlock,
  ULONG            FsControlCode,
  PVOID            InputBuffer,
  ULONG            InputBufferLength,
  PVOID            OutputBuffer,
  ULONG            OutputBufferLength
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 39 00 00 00      mov eax, 0x39
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Gleiche 10-Argument-Form wie NtDeviceIoControlFile; der Kernel teilt sich sogar den Dispatch-Code (`IopXxxControlFile` mit `FsControl`-Flag). Der Unterschied ist semantisch: ein FSCTL geht an einen *Dateisystem-Treiber* (NTFS, ReFS, FAT, CDFS) oder einen Netzwerk-Redirector (RDBSS, mrxsmb), und viele FSCTLs erfordern **SeManageVolumePrivilege** oder **SeRestorePrivilege**. SSN `0x39` ist von Win7 bis Win11 24H2 stabil. Der FSCTL-Code-Katalog ist groß (≈ 250); die offensiv relevante Teilmenge ist klein, aber wirkungsstark: Reparse-Point set/get, Sparse-Marker, USN-Journal-Lesen und Volume-Bitmap für Roh-NTFS-Dumps.

Häufige Malware-Nutzung

Drei offensive Familien. (1) **Reparse-Point/Junction-Missbrauch (T1564.004 + T1574.x)**: `FSCTL_SET_REPARSE_POINT` schreibt einen NTFS-Reparse-Tag auf ein Verzeichnis und macht es zu Junction oder Mount Point. UAC-Bypass und EoP-Exploits lassen damit einen schreibbaren Ordner auf einen SYSTEM-Ordner zeigen (RedirectionGuard entschärfte das nur unter Win11), Ransomware leitet Log-Pfade auf gelöschte Volumes um. (2) **ADS-Entdeckung (T1564.004)**: `FSCTL_QUERY_FILE_LAYOUT` und `FSCTL_GET_NTFS_FILE_RECORD` legen jeden $DATA-Stream einer Datei offen; Dropper verstecken so Payloads (PowerShell-Skripte, geplante Task-XMLs, sekundäre EXEs) in Streams, die `dir` standardmäßig nicht anzeigt. (3) **Roh-NTFS-Extraktion**: `FSCTL_GET_VOLUME_BITMAP` + `FSCTL_GET_RETRIEVAL_POINTERS` (Cluster-Runs der `$MFT`) ist das Rezept hinter `RawCopy`, `EXTRACT-DiT` und den meisten NTDS.dit-Dumpern — sie lesen Cluster-Runs direkt von `\\.\PhysicalDriveN` und umgehen die gesperrte Datei-Öffnung.

Erkennungs­möglichkeiten

Microsoft-Windows-Ntfs-ETW (`{3FF37A1C-A68D-4D6E-8C9B-F79E8B16C482}`) und Storage-Subsystem-Provider emittieren Events für Reparse-Point-Sets und FSCTL-Traffic. Sysmon Event ID 11 feuert beim File-Create eines Reparse-Plants. Minifilter-Pre-Callbacks auf `IRP_MJ_FILE_SYSTEM_CONTROL` (FSCTL ist dessen Minor) sehen jeden Code samt Input-Buffer — dort registrieren sich EDRs typischerweise. Hochwertige Hunts: `FSCTL_SET_REPARSE_POINT` von Nicht-Installer-Prozessen, `FSCTL_GET_VOLUME_BITMAP` von User-Mode-Binaries außer `chkdsk`/`defrag`/AV, und jeder Prozess, der `\\.\PhysicalDriveN` öffnet und danach sequenziell `FSCTL_GET_RETRIEVAL_POINTERS` aufruft. PowerShell `Get-Item -Force` mit `:Zone.Identifier`-Enumeration entlarvt offensichtliche ADS-Plants; `Sysinternals streams.exe` ist das manuelle Werkzeug. Microsofts Symlink-Schutz (`fsutil behavior set SymlinkEvaluation`) entschärft einige Reparse-Missbrauchs-Klassen.

Direkte Syscall-Beispiele

// REPARSE_DATA_BUFFER for IO_REPARSE_TAG_MOUNT_POINT, redirecting
// C:\Users\victim\Downloads\evil  ->  \??\C:\Windows\System32.
#define IO_REPARSE_TAG_MOUNT_POINT 0xA0000003
#define FSCTL_SET_REPARSE_POINT    0x900A4

typedef struct _REPARSE_MOUNT_POINT {
    ULONG  ReparseTag;          // 0xA0000003
    USHORT ReparseDataLength;
    USHORT Reserved;
    USHORT SubstituteNameOffset;
    USHORT SubstituteNameLength;
    USHORT PrintNameOffset;
    USHORT PrintNameLength;
    WCHAR  PathBuffer[1];
} REPARSE_MOUNT_POINT, *PREPARSE_MOUNT_POINT;

// hDir = handle to empty directory opened with GENERIC_WRITE | DELETE
IO_STATUS_BLOCK iosb = {0};
NTSTATUS s = NtFsControlFile(
    hDir, NULL, NULL, NULL, &iosb,
    FSCTL_SET_REPARSE_POINT,
    rd, REPARSE_DATA_BUFFER_HEADER_SIZE + rd->ReparseDataLength,
    NULL, 0);

; Identical 4-instr stub form; ten parameters from the caller, six on stack.
NtFsControlFile PROC
    mov  r10, rcx
    mov  eax, 39h
    syscall
    ret
NtFsControlFile ENDP

// Cargo: ntapi = "0.4", winapi = { version = "0.3", features = ["ntdef"] }
use ntapi::ntioapi::{NtFsControlFile, IO_STATUS_BLOCK};
use winapi::shared::ntdef::HANDLE;

const FSCTL_GET_REPARSE_POINT: u32 = 0x900A8;

pub unsafe fn read_reparse(h_dir: HANDLE) -> Option<Vec<u8>> {
    let mut buf = vec![0u8; 0x4000];
    let mut iosb: IO_STATUS_BLOCK = core::mem::zeroed();
    let s = NtFsControlFile(
        h_dir, core::ptr::null_mut(),
        None, core::ptr::null_mut(),
        &mut iosb,
        FSCTL_GET_REPARSE_POINT,
        core::ptr::null_mut(), 0,
        buf.as_mut_ptr() as *mut _, buf.len() as u32,
    );
    if s == 0 {
        let n = *iosb.u.Status_mut() as usize;
        buf.truncate(n);
        Some(buf)
    } else { None }
}

MITRE ATT&CK-Mappings

• T1564.004Hide Artifacts: NTFS File Attributesmitre ↗
• T1574.005Hijack Execution Flow: Executable Installer File Permissions Weaknessmitre ↗
• T1003.003OS Credential Dumping: NTDSmitre ↗
• T1106Native APImitre ↗