NtNotifyChangeDirectoryFileEx

Prototyp

NTSTATUS NtNotifyChangeDirectoryFileEx(
  HANDLE                          FileHandle,
  HANDLE                          Event,
  PIO_APC_ROUTINE                 ApcRoutine,
  PVOID                           ApcContext,
  PIO_STATUS_BLOCK                IoStatusBlock,
  PVOID                           Buffer,
  ULONG                           Length,
  ULONG                           CompletionFilter,
  BOOLEAN                         WatchTree,
  DIRECTORY_NOTIFY_INFORMATION_CLASS DirectoryNotifyInformationClass
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 22 01 00 00      mov eax, 0x122
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

In Windows 10 1709 ergänzt, um die neue Win32-API `ReadDirectoryChangesExW` zu unterfüttern. Die einzige Ergänzung gegenüber NtNotifyChangeDirectoryFile ist die Enum `DirectoryNotifyInformationClass`: das Übergeben von `DirectoryNotifyExtendedInformation` liefert `FILE_NOTIFY_EXTENDED_INFORMATION`-Datensätze mit `FileId`, `ParentFileId`, `CreationTime`, `LastModificationTime`, `LastChangeTime`, `LastAccessTime`, `AllocatedLength`, `FileSize` und `FileAttributes` — d. h. alles, was der Aufrufer sonst pro Datei statisch ermitteln müsste. Das ist ein deutlicher Effizienzgewinn bei großen Verzeichnissen: ein einziger Syscall liefert, wofür sonst eine Benachrichtigung plus NtQueryInformationFile pro geänderter Datei nötig wäre. Wegen des 1709-Minimums benötigt Code, der ältere Builds anvisiert, einen Fallback auf NtNotifyChangeDirectoryFile.

Häufige Malware-Nutzung

Dieselben Einsatzmuster wie NtNotifyChangeDirectoryFile (Watchdog-Implants, Trigger-getriebenes C2, Erkennung neu eingehängter Laufwerke während des Verschlüsselns), mit einer spezifischen Verbesserung: `DirectoryNotifyExtendedInformation` liefert die **FileId** pro Änderung ohne zweiten Roundtrip. Ransomware nutzt das, um Arbeit über Hardlinks und Junctions hinweg bei multi-threaded Verschlüsselung zu deduplizieren — der Worker überspringt ein Ereignis, wenn die FileId bereits im In-Memory-'encrypted'-Set ist, was Doppelarbeit an derselben NTFS-Datei verhindert. Die ergänzten Zeitstempel-Felder nutzen einige Infostealer, um Änderungen 'neuer als mein letzter Beacon' zu filtern und differentielle Exfil-Sätze ohne separaten Enumerationslauf zu erzeugen.

Erkennungs­möglichkeiten

Telemetrie-Oberfläche identisch zu NtNotifyChangeDirectoryFile — Sysmon FileCreate (Event ID 11), ETW-Provider Microsoft-Windows-Kernel-File und EDR-Handle-Telemetrie. Ein einziges Differenzierungsmerkmal für Verteidiger: Anfragen mit `DirectoryNotifyExtendedInformation` sind in alter Drittsoftware noch relativ selten (die meisten blieben aus ABI-Kompatibilitätsgründen bei `ReadDirectoryChangesW`), weshalb ein Nicht-Explorer/-Indexer/-OneDrive-Prozess, der gezielt die Extended-Klasse auf einem sensiblen Pfad anfordert, ein etwas stärkeres Signal als die Legacy-Variante ist. Nützlich zum Tunen ML-basierter Anomalie-Detektoren, die bereits pro-Syscall-Feature-Vektoren konsumieren.

Direkte Syscall-Beispiele

; Direct syscall stub for NtNotifyChangeDirectoryFileEx (SSN 0x122 on Win11 24H2)
NtNotifyChangeDirectoryFileEx PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 122h         ; SSN — varies per build
    syscall
    ret
NtNotifyChangeDirectoryFileEx ENDP

// Use ReadDirectoryChangesExW to receive FILE_NOTIFY_EXTENDED_INFORMATION.
// One syscall returns FileId + timestamps + size in addition to the name.
#include <windows.h>

typedef struct _FILE_NOTIFY_EXTENDED_INFORMATION {
    ULONG         NextEntryOffset;
    ULONG         Action;
    LARGE_INTEGER CreationTime;
    LARGE_INTEGER LastModificationTime;
    LARGE_INTEGER LastChangeTime;
    LARGE_INTEGER LastAccessTime;
    LARGE_INTEGER AllocatedLength;
    LARGE_INTEGER FileSize;
    ULONG         FileAttributes;
    ULONG         ReparsePointTag;
    LARGE_INTEGER FileId;
    LARGE_INTEGER ParentFileId;
    ULONG         FileNameLength;
    WCHAR         FileName[1];
} FILE_NOTIFY_EXTENDED_INFORMATION;

VOID WatchExtended(HANDLE hDir, BYTE* buf, DWORD cb) {
    DWORD got = 0;
    while (ReadDirectoryChangesExW(hDir, buf, cb, TRUE,
               FILE_NOTIFY_CHANGE_FILE_NAME | FILE_NOTIFY_CHANGE_LAST_WRITE,
               &got, NULL, NULL,
               ReadDirectoryNotifyExtendedInformation)) {
        FILE_NOTIFY_EXTENDED_INFORMATION* p =
            (FILE_NOTIFY_EXTENDED_INFORMATION*)buf;
        for (;;) {
            // p->FileId is unique per NTFS volume — dedupe key
            HandleChange(p);
            if (!p->NextEntryOffset) break;
            p = (FILE_NOTIFY_EXTENDED_INFORMATION*)((BYTE*)p + p->NextEntryOffset);
        }
    }
}

// Cargo: ntapi = "0.4"
use std::ptr::null_mut;
use ntapi::ntioapi::{NtNotifyChangeDirectoryFileEx, IO_STATUS_BLOCK};

#[repr(C)]
#[allow(non_camel_case_types, dead_code)]
enum DirectoryNotifyInformationClass {
    DirectoryNotifyInformation = 1,
    DirectoryNotifyExtendedInformation = 2,
}

pub unsafe fn watch_extended(h_dir: isize, buf: &mut [u8]) -> i32 {
    let mut iosb: IO_STATUS_BLOCK = std::mem::zeroed();
    NtNotifyChangeDirectoryFileEx(
        h_dir as _, null_mut(), None, null_mut(),
        &mut iosb,
        buf.as_mut_ptr() as _, buf.len() as u32,
        0x1F, // all FILE_NOTIFY_CHANGE_* basics
        1,    // WatchTree = TRUE
        DirectoryNotifyInformationClass::DirectoryNotifyExtendedInformation as u32,
    )
}

MITRE ATT&CK-Mappings

• T1083File and Directory Discoverymitre ↗
• T1486Data Encrypted for Impactmitre ↗
• T1106Native APImitre ↗