NtOpenTransaction

Prototyp

NTSTATUS NtOpenTransaction(
  PHANDLE            TransactionHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  LPGUID             Uow,
  HANDLE             TmHandle
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 3B 01 00 00      mov eax, 0x13B     ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Gegenstück zu `NtCreateTransaction`. Die Transaktion lässt sich entweder per Name öffnen (sofern der Erzeuger sie unter `\BaseNamedObjects` o. ä. veröffentlicht hat) oder per Unit-of-Work-GUID — jede KTM-Transaktion besitzt eine global eindeutige UoW-GUID, die beim Transaction Manager registriert ist. Mit dem Handle lassen sich weitere Resource Manager enrollen, der Zustand via `NtQueryInformationTransaction` abfragen oder Commit/Rollback ausführen, falls die entsprechenden Rechte angefragt wurden.

Häufige Malware-Nutzung

Für Process Doppelgänging weniger zentral als `NtCreateTransaction`, aber nützlich in mehrstufigen Ketten, in denen eine Komponente die Transaktion erzeugt (z. B. ein Loader im Service-Kontext) und eine andere Stufe sie per UoW-GUID öffnet, um nach Section-Erzeugung in einem anderen Prozess den Rollback auszuführen. Auch in Inter-Prozess-Varianten von Doppelgänging zu sehen, wo der Dropper die UoW-GUID per IPC an ein Child übergibt, das Child die Transaktion wieder öffnet und erst dann den Rollback auslöst — die verdächtige Sequenz wird so über zwei PIDs verteilt und einfache Per-Process-Erkennungen scheitern.

Erkennungs­möglichkeiten

Selbe Telemetrie-Oberfläche wie bei `NtCreateTransaction` — ETW-Provider `Microsoft-Windows-Kernel-File` und `Microsoft-Windows-TxF`. Insbesondere auf nicht verwandte Prozesse achten, die innerhalb kurzer Zeit dieselbe UoW-GUID öffnen: legitime transaktionale Anwendungen (SQL Server, NTFS-Journaling) verteilen die Sequenz Create–Open–Rollback praktisch nie über nicht verwandte PIDs. Mit WinObj lässt sich `\BaseNamedObjects` auflisten und benannte Transaktionen aufdecken; die meisten von Angreifern erzeugten Transaktionen sind jedoch unbenannt und stützen sich auf UoW-GUIDs.

Direkte Syscall-Beispiele

// Open an existing transaction by its unit-of-work GUID.
GUID uow = { /* received via IPC from the creator */ };
HANDLE hTx = NULL;
OBJECT_ATTRIBUTES oa = { sizeof(oa) };

NTSTATUS s = NtOpenTransaction(
    &hTx,
    TRANSACTION_COMMIT | TRANSACTION_ROLLBACK,
    &oa,
    &uow,
    NULL);

if (NT_SUCCESS(s)) {
    // Take ownership of the transaction — commit or rollback as needed.
    NtRollbackTransaction(hTx, TRUE);
    NtClose(hTx);
}

; NtOpenTransaction direct stub — SSN 0x13B on Win11 24H2
NtOpenTransaction PROC
    mov  r10, rcx
    mov  eax, 13Bh
    syscall
    ret
NtOpenTransaction ENDP

use ntapi::ntxcapi::NtOpenTransaction;
use winapi::shared::guiddef::GUID;
use winapi::shared::ntdef::{HANDLE, OBJECT_ATTRIBUTES};
use std::{mem, ptr::null_mut};

unsafe fn open_by_uow(mut uow: GUID) -> HANDLE {
    let mut h: HANDLE = null_mut();
    let mut oa: OBJECT_ATTRIBUTES = mem::zeroed();
    oa.Length = mem::size_of::<OBJECT_ATTRIBUTES>() as u32;
    let s = NtOpenTransaction(&mut h, 0x0008 | 0x0010, &mut oa, &mut uow, null_mut());
    assert!(s >= 0);
    h
}

MITRE ATT&CK-Mappings

• T1055.013Process Doppelgängingmitre ↗
• T1106Native APImitre ↗