NtQueryEaFile

Prototyp

NTSTATUS NtQueryEaFile(
  HANDLE           FileHandle,
  PIO_STATUS_BLOCK IoStatusBlock,
  PVOID            Buffer,
  ULONG            Length,
  BOOLEAN          ReturnSingleEntry,
  PVOID            EaList,
  ULONG            EaListLength,
  PULONG           EaIndex,
  BOOLEAN          RestartScan
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 50 01 00 00      mov eax, 0x150     ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Gegenstück zu `NtSetEaFile`. Mit 9 Argumenten, zwei davon auf x64 über den Stack, gehört dies zu den klobigeren Datei-Syscalls — Aufrufstellen wickeln ihn meist in einen kleinen Helper, der `NULL/0/NULL/FALSE` für das optionale Filter/Index/Restart-Trio übergibt, wenn alle EAs gewünscht sind. Der Kernel liefert `STATUS_NO_EAS_ON_FILE` für Dateien ohne EA-Stream und `STATUS_NONEXISTENT_EA_ENTRY` für ein fehlendes benanntes Lookup zurück — beides nützliche negative Orakel beim Sondieren.

Häufige Malware-Nutzung

Die Leseseite des EA-Stealth-Patterns: ein Implant, der zuvor Konfiguration oder Shellcode via `NtSetEaFile` versteckt hat, lädt es später mit `NtQueryEaFile` zurück. Das EA über den `EaList`-Parameter explizit zu benennen ist gegenüber einer vollständigen Enumeration vorzuziehen, weil es weniger Telemetrie-Spuren hinterlässt und Scanner umgeht, die alle EAs der Datei durchlaufen. Manche Loader nutzen den EA-Pfad auch als Integritäts-Seitenkanal — Existenz und exakte Größe des Payloads fungieren als Manipulationsdetektor vor der Entschlüsselung.

Erkennungs­möglichkeiten

`NtQueryEaFile` allein ist harmlos — das OS selbst ruft ihn auf Roaming-Profile-Freigaben auf und immer dann, wenn WSL/Cygwin-Berechtigungs-EAs gelesen werden. Das Signal liegt im *Muster*: ein Prozess, der eine Nicht-WSL-Datei mit FILE_READ_EA öffnet und unmittelbar in den zurückgegebenen Blob entschlüsselt/springt. ETW Microsoft-Windows-Kernel-File `FileQueryEa`-Event, gekoppelt mit einem nachfolgenden VirtualProtect→RX auf einer frisch aus diesem Puffer beschriebenen Region, ist die hochgradig zuverlässige Korrelation. Isolierte EA-Queries aus `svchost.exe`, `lsass.exe` oder einem signierten Microsoft-Binary gegen eine vom Benutzer schreibbare Datei sollten hervorgehoben werden.

Direkte Syscall-Beispiele

// Fetch only the 'CONFIG.BIN' EA — avoids a noisy full enumeration.
HANDLE h = CreateFileW(L"C:\\ProgramData\\update.dat", FILE_READ_EA, FILE_SHARE_READ,
                       NULL, OPEN_EXISTING, 0, NULL);

struct {
    ULONG  NextEntryOffset;
    UCHAR  EaNameLength;
    CHAR   EaName[12];   // "CONFIG.BIN\0" + padding
} eaList = { 0, 10, "CONFIG.BIN\0" };

BYTE out[4096];
IO_STATUS_BLOCK iosb;
NTSTATUS st = NtQueryEaFile(h, &iosb, out, sizeof(out),
                            TRUE,                  // single entry
                            &eaList, sizeof(eaList),
                            NULL,                  // no index
                            TRUE);                 // restart scan
if (NT_SUCCESS(st)) {
    PFILE_FULL_EA_INFORMATION ea = (PFILE_FULL_EA_INFORMATION)out;
    decrypt_and_run(ea->EaName + ea->EaNameLength + 1, ea->EaValueLength);
}

; NtQueryEaFile direct syscall (Win11 24H2 SSN 0x150)
NtQueryEaFile PROC
    mov  r10, rcx
    mov  eax, 150h
    syscall
    ret
NtQueryEaFile ENDP

// Cargo: windows-sys = "0.59"
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::System::LibraryLoader::*;

type NtQueryEaFileFn = unsafe extern "system" fn(
    HANDLE, *mut u8, *mut u8, u32, u8, *const u8, u32, *mut u32, u8,
) -> i32;

unsafe fn dump_eas(h: HANDLE) -> Vec<(String, Vec<u8>)> {
    let nt = GetModuleHandleA(b"ntdll.dll\0".as_ptr());
    let f: NtQueryEaFileFn = std::mem::transmute(
        GetProcAddress(nt, b"NtQueryEaFile\0".as_ptr()).unwrap()
    );
    let mut buf = vec![0u8; 0x10000];
    let mut iosb = [0u8; 16];
    let st = f(h, iosb.as_mut_ptr(), buf.as_mut_ptr(), buf.len() as u32,
               0, std::ptr::null(), 0, std::ptr::null_mut(), 1);
    if st < 0 { return vec![]; }
    // Walk NextEntryOffset chain ... (omitted for brevity)
    Vec::new()
}

MITRE ATT&CK-Mappings

• T1564.004Hide Artifacts: NTFS File Attributesmitre ↗
• T1564Hide Artifactsmitre ↗
• T1106Native APImitre ↗