NtOpenPartition

Prototyp

NTSTATUS NtOpenPartition(
  PHANDLE            PartitionHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1                  mov r10, rcx
B8 31 01 00 00            mov eax, 0x131
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Undokumentierte Hinweise

`Open`-Gegenstück zu `NtCreatePartition`. Die Auflösung läuft rein über den Object-Manager: die Partition muss bereits unter ihrem Namespace-Pfad existieren (üblicherweise `\KernelObjects\…`), und der aufrufende Token muss den Security-Descriptor der Partition für die angeforderten Rechte erfüllen. Anders als `NtCreatePartition` verlangt das Öffnen zur Abfrage/Inspektion kein `SeLockMemoryPrivilege` — nur Modify-/Attach-Pfade tun das. Die dynamische Syscall-Auflösung via Hell's Gate ist unkompliziert, weil die SSN vorhersehbar driftet.

Häufige Malware-Nutzung

Praktisch null direkter Missbrauch in Commodity-Malware. Ein Verteidiger oder Forscher könnte den Aufruf nutzen, um Hyper-V-Container-Partitionen auf einem Host zu introspekt­ieren, und ein anspruchsvolles Implant könnte *theoretisch* eine bereits existierende User-Partition nutzen, um seine Allokationen unterzubringen und die vom Host-EDR gesehenen Working-Set-Zähler zu verfälschen — der Gewinn gegenüber simplem `NtAllocateVirtualMemory` ist im Verhältnis zum Privileg-Kostenaufwand vernachlässigbar.

Erkennungs­möglichkeiten

Mit dem `NtCreatePartition`-Signal koppeln: das Öffnen einer benannten Partition, die der Operator nicht selbst erzeugt hat, ist außerhalb von vmcompute/vmwp/SystemSettings anomal. Das ETW-Event 9 (`PartitionOpened`) des Providers `Microsoft-Windows-Kernel-Memory` trägt das aufrufende Image und den Partitionsobjekt-Namen. In den meisten Produktionsumgebungen ist die Allowlist hier leer.

Direkte Syscall-Beispiele

#include <windows.h>
#include <winternl.h>

#define MEMORY_PARTITION_QUERY_ACCESS  0x0001

typedef NTSTATUS (NTAPI* pNtOpenPartition)(
    PHANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES);

HANDLE open_partition(LPCWSTR name) {
    UNICODE_STRING us;
    RtlInitUnicodeString(&us, name);
    OBJECT_ATTRIBUTES oa;
    InitializeObjectAttributes(&oa, &us, OBJ_CASE_INSENSITIVE, NULL, NULL);

    pNtOpenPartition f = (pNtOpenPartition)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtOpenPartition");

    HANDLE h = NULL;
    f(&h, MEMORY_PARTITION_QUERY_ACCESS, &oa);
    return h;
}

NtOpenPartition PROC
    mov  r10, rcx
    mov  eax, 131h
    syscall
    ret
NtOpenPartition ENDP

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗