NtProtectVirtualMemory

Prototyp

NTSTATUS NtProtectVirtualMemory(
  HANDLE  ProcessHandle,
  PVOID  *BaseAddress,
  PSIZE_T NumberOfBytesToProtect,
  ULONG   NewAccessProtection,
  PULONG  OldAccessProtection
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 50 00 00 00      mov eax, 0x50
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtProtectVirtualMemory behält die SSN `0x50` von Windows 10 1507 bis Windows 11 24H2 — eine der stabilsten Syscall-Nummern der Plattform. Es ist der Kerneleingangspunkt hinter `VirtualProtect`/`VirtualProtectEx` und endet bei `MiProtectVirtualMemory`. Die Funktion rundet `BaseAddress` stillschweigend ab und `NumberOfBytesToProtect` auf Seitengrenzen auf, sodass eine Anfrage, die ein einzelnes Byte einer angrenzenden Seite berührt, diese gesamte Seite umschützt.

Häufige Malware-Nutzung

Dies ist die zweite Hälfte des kanonischen Loader-Musters: Die Region wird als `PAGE_READWRITE` allokiert, der Payload geschrieben und anschließend mit `NtProtectVirtualMemory` auf `PAGE_EXECUTE_READ` (oder `PAGE_EXECUTE_READWRITE` für selbstmodifizierende Stubs) umgeschaltet. RW→RX nach dem Schreiben ist das Standardrezept, um naive RWX-Scanner zu umgehen und dennoch ausführbaren Code zu erhalten. Verwendet in Cobalt-Strike-Beacon-Loadern, Sliver-Shellcode-Runnern, Brute Ratel sowie den meisten Module-Stomping- und Thread-Stack-Spoofing-Implementierungen.

Erkennungs­möglichkeiten

RX- oder RWX-Übergänge auf privatem (nicht-image) Speicher sind ein starkes Signal. Sysmon hat dafür kein eigenes Event, aber ETW Threat Intelligence (`Microsoft-Windows-Threat-Intelligence`) emittiert `EtwTiLogProtectExecVm`, sobald ein ausführbarer Schutz auf private Speicher angewendet wird — genau das Event, das EDRs abonnieren. Userland-Hooks auf `NtProtectVirtualMemory` in ntdll werden durch direkte oder indirekte Syscalls umgangen, die ETW-TI-Telemetrie im Kernel feuert jedoch weiterhin. PE-Sieve und Moneta erkennen post mortem private RX-Regionen ohne Image-Hintergrund.

Direkte Syscall-Beispiele

; Direct syscall stub for NtProtectVirtualMemory (SSN 0x50, stable across all Win10/11)
NtProtectVirtualMemory PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 50h          ; SSN
    syscall
    ret
NtProtectVirtualMemory ENDP

// Classic two-phase loader: allocate RW, write, flip to RX.
SIZE_T size = payload_len;
PVOID  base = NULL;
NtAllocateVirtualMemory(NtCurrentProcess(), &base, 0, &size,
                        MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
memcpy(base, payload, payload_len);

ULONG old = 0;
NTSTATUS st = NtProtectVirtualMemory(NtCurrentProcess(), &base, &size,
                                     PAGE_EXECUTE_READ, &old);
if (NT_SUCCESS(st)) ((void(*)())base)();

// Resolve SSN at runtime from a non-hooked ntdll copy.
typedef NTSTATUS (NTAPI *pNtProtect)(HANDLE, PVOID*, PSIZE_T, ULONG, PULONG);

DWORD ssn = GetSyscallNumber(GetProcAddress(GetModuleHandleA("ntdll.dll"),
                                            "NtProtectVirtualMemory"));
// hand SSN to your indirect-syscall trampoline; ssn is 0x50 on every supported build
set_ssn(ssn);
indirect_syscall_invoke(/* args */);

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1055.002Portable Executable Injectionmitre ↗
• T1620Reflective Code Loadingmitre ↗