NtQueryInformationFile

Prototyp

NTSTATUS NtQueryInformationFile(
  HANDLE                  FileHandle,
  PIO_STATUS_BLOCK        IoStatusBlock,
  PVOID                   FileInformation,
  ULONG                   Length,
  FILE_INFORMATION_CLASS  FileInformationClass
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 11 00 00 00      mov eax, 0x11
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtQueryInformationFile ist der generische Metadaten-Reader für eine geöffnete Datei oder ein Verzeichnis. Die Signatur (Handle, IOSB, Buf, Len, *Information-Class*) wird auf der Schreibseite von `NtSetInformationFile` und für die Enumeration von `NtQueryDirectoryFile` gespiegelt. Die SSN `0x11` ist seit Windows 10 1507 stabil. Erwähnenswerte Information-Classes: `FileBasicInformation` (4 × LARGE_INTEGER Timestamps + FileAttributes), `FileStandardInformation` (Größe, Link-Anzahl, Delete-Pending, Verzeichnis-Flag), `FileEaInformation` (Extended-Attribute-Größe), `FileStreamInformation` (ADS / Alternate-Data-Stream-Enumeration), `FileAttributeTagInformation` (Reparse-Tag-Abfrage — Symlink, Junction, IO_REPARSE_TAG_*) und `FileAlignmentInformation` (Sektor- / Geräte-Alignment).

Häufige Malware-Nutzung

Auf der Read-Seite ist NtQueryInformationFile der primäre Syscall beim **Timestomping-Read-Back** (T1070.006): Ein Angreifer liest `FileBasicInformation` einer harmlosen Nachbardatei (z. B. `kernel32.dll`), nutzt dann `NtSetInformationFile` mit derselben Struktur, um CreationTime / LastWriteTime / ChangeTime auf eine bösartige Payload zu übertragen — und lässt sie sich so in Verzeichnislistings einfügen und oberflächliche Timestamp-Anomalie-Hunts überleben. `FileStreamInformation` wird von Infostealern und Persistenz-Frameworks genutzt, um Alternate Data Streams (`file.txt:hidden.exe`) zu entdecken, in denen Payloads auf NTFS versteckt werden. `FileAttributeTagInformation` erlaubt Stage-Check-Code, ein echtes Verzeichnis von einer Junction/einem Symlink zu unterscheiden, bevor Persistenz abgelegt wird — wichtig, wenn Ziele auf benutzerbeschreibbaren, junction-fähigen Pfaden liegen.

Erkennungs­möglichkeiten

Wie NtOpenFile ist NtQueryInformationFile in legitimer Software extrem häufig (explorer.exe ruft ihn auf belasteten Systemen allein tausende Male pro Sekunde) und für sich kein nützliches Signal. Sinnvolle Inspektionspunkte sind (1) die *Information-Class* und (2) das *Ziel*: Ein Nicht-System-Prozess, der NtQueryInformationFile + NtSetInformationFile beide mit `FileBasicInformation` auf demselben Handle in schneller Folge aufruft, ist das kanonische Timestomp-Muster. ETW `Microsoft-Windows-Kernel-File` liefert Metadaten-Zugriffsevents pro Information-Class. EDR-Mini-Filter sehen das zugrundeliegende `IRP_MJ_QUERY_INFORMATION`.

Direkte Syscall-Beispiele

; Direct syscall stub for NtQueryInformationFile (SSN 0x11, stable since Win10 1507)
NtQueryInformationFile PROC
    mov  r10, rcx          ; FileHandle
    mov  eax, 11h          ; SSN
    syscall
    ret
NtQueryInformationFile ENDP

// Read CreationTime/LastAccessTime/LastWriteTime/ChangeTime + Attributes
// — the read-half of a classic timestomp.
#include <windows.h>
#include <winternl.h>

typedef struct _FILE_BASIC_INFORMATION {
    LARGE_INTEGER CreationTime;
    LARGE_INTEGER LastAccessTime;
    LARGE_INTEGER LastWriteTime;
    LARGE_INTEGER ChangeTime;
    ULONG         FileAttributes;
} FILE_BASIC_INFORMATION, *PFILE_BASIC_INFORMATION;

NTSTATUS GetBasicInfo(HANDLE h, FILE_BASIC_INFORMATION *out) {
    IO_STATUS_BLOCK iosb = {0};
    return NtQueryInformationFile(h, &iosb, out, sizeof(*out),
                                   FileBasicInformation);
}

// FileStreamInformation walk — discovers hidden ADS payloads on NTFS.
#include <windows.h>
#include <winternl.h>

typedef struct _FILE_STREAM_INFORMATION {
    ULONG         NextEntryOffset;
    ULONG         StreamNameLength;
    LARGE_INTEGER StreamSize;
    LARGE_INTEGER StreamAllocationSize;
    WCHAR         StreamName[1];
} FILE_STREAM_INFORMATION, *PFILE_STREAM_INFORMATION;

void ListStreams(HANDLE h) {
    BYTE buf[4096]; IO_STATUS_BLOCK iosb = {0};
    if (NtQueryInformationFile(h, &iosb, buf, sizeof(buf),
                                FileStreamInformation) < 0) return;
    PFILE_STREAM_INFORMATION p = (PFILE_STREAM_INFORMATION)buf;
    for (;;) {
        wprintf(L"%.*s  (%lld bytes)\n",
                p->StreamNameLength / 2, p->StreamName,
                p->StreamSize.QuadPart);
        if (!p->NextEntryOffset) break;
        p = (PFILE_STREAM_INFORMATION)((BYTE*)p + p->NextEntryOffset);
    }
}

MITRE ATT&CK-Mappings

• T1070.006Indicator Removal: Timestompmitre ↗
• T1564.004Hide Artifacts: NTFS File Attributesmitre ↗
• T1106Native APImitre ↗