NtReadFile

Prototyp

NTSTATUS NtReadFile(
  HANDLE           FileHandle,
  HANDLE           Event,
  PIO_APC_ROUTINE  ApcRoutine,
  PVOID            ApcContext,
  PIO_STATUS_BLOCK IoStatusBlock,
  PVOID            Buffer,
  ULONG            Length,
  PLARGE_INTEGER   ByteOffset,
  PULONG           Key
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 06 00 00 00      mov eax, 0x6
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtReadFile folgt der klassischen NT-9-Argument-Form (Event/APC-Paar, IO_STATUS_BLOCK, Byte-Offset, Lock-Key), die NtWriteFile, NtDeviceIoControlFile und NtFsControlFile übernehmen — wer einen aufruft, ruft alle vier. SSN `0x6` ist seit Windows 7 fixiert, weil der Call ganz unten in der Tabelle sitzt. Wichtigstes Detail auf Caller-Seite: Bei einer Datei, die *ohne* FILE_SYNCHRONOUS_IO_NONALERT geöffnet wurde, muss ein gültiger ByteOffset oder ein Event-Handle plus Wait übergeben werden — der User-Mode-`ReadFile` versteckt dies, indem es synchron emuliert, wenn weder FILE_FLAG_OVERLAPPED noch OVERLAPPED gegeben sind.

Häufige Malware-Nutzung

Drei wesentliche Offensiv-Muster. (1) **Token-Diebstahl / LSASS-Lesen**: Handle auf eine Section öffnen, die LSASS-Speicher unterlegt, oder auf einen Minidump auf Platte, dann mit NtReadFile Credential-Material ziehen, ohne MiniDumpWriteDump oder NtReadVirtualMemory anzufassen. (2) **Config-/Clipboard-Exfil**: `\Device\KsecDD`, `\??\C:\Users\<u>\AppData\Roaming\Mozilla\Firefox\Profiles\*\logins.json`, Browser-Cookie-SQLite, Outlook PST/OST öffnen und blockweise lesen. (3) **Eigene Backing-Datei eines reflektiven Loaders** rückeinlesen, um Stage 2 von Disk zu staged ohne die OS-Heuristik, die NtMapViewOfSection auf Image-Sektionen markiert. Mit NtCreateFile auf NT-Pfaden (`\??\GLOBALROOT\Device\...`) umgeht der Read Minifilter, die an DOS-Pfaden hängen.

Erkennungs­möglichkeiten

NtReadFile ist für sich genommen nie auffällig — Milliarden Aufrufe pro Host und Tag. Das Signal liegt in (a) *welche Datei*, (b) *wer hat sie geöffnet*, (c) die IRP-Kette. ETW Microsoft-Windows-Kernel-File (`{EDD08927-9CC4-4E65-B970-C2560FB5C289}`) emittiert Read-Events mit Offset und Länge. EDR-Minifilter-Callbacks (IRP_MJ_READ pre/post) sehen jede Leseoperation unabhängig vom User-Mode-Hook, also verbergen direkte Syscalls nichts. Hochwertige Hunts: jeder Nicht-MsMpEng/SearchProtocolHost-Prozess, der `*\Mozilla\*\logins.json`, `*\Chromium\User Data\*\Login Data`, `*\Microsoft\Credentials\*`, `*\Microsoft\Protect\*` (DPAPI-Masterkeys) oder `\Device\HarddiskVolumeShadowCopy*` (NTDS.dit-Extraktion über VSC) liest.

Direkte Syscall-Beispiele

// Assumes hFile was opened with FILE_SYNCHRONOUS_IO_NONALERT and FILE_READ_DATA.
IO_STATUS_BLOCK iosb = {0};
BYTE  buffer[0x4000];
LARGE_INTEGER off = {0};                  // start of file

NTSTATUS s = NtReadFile(
    hFile,
    NULL,                                 // Event
    NULL, NULL,                           // APC routine + context
    &iosb,
    buffer,
    sizeof(buffer),
    &off,
    NULL);                                // Key

if (NT_SUCCESS(s)) {
    SIZE_T got = iosb.Information;
    // got bytes copied into buffer
}

; NtReadFile has 9 args. RCX,RDX,R8,R9 hold the first four; the rest
; sit on the stack after 32-byte home space — caller is responsible.
NtReadFile PROC
    mov  r10, rcx
    mov  eax, 06h
    syscall
    ret
NtReadFile ENDP

// Cargo: ntapi = "0.4", winapi = { version = "0.3", features = ["synchapi", "ntdef"] }
use ntapi::ntioapi::{NtReadFile, IO_STATUS_BLOCK};
use winapi::um::synchapi::WaitForSingleObject;
use winapi::shared::ntdef::{HANDLE, LARGE_INTEGER};

pub unsafe fn read_async(h_file: HANDLE, h_event: HANDLE, buf: &mut [u8], off: i64) -> i32 {
    let mut iosb: IO_STATUS_BLOCK = core::mem::zeroed();
    let mut li: LARGE_INTEGER = core::mem::zeroed();
    *li.QuadPart_mut() = off;
    let s = NtReadFile(
        h_file, h_event,
        None, core::ptr::null_mut(),
        &mut iosb,
        buf.as_mut_ptr() as *mut _,
        buf.len() as u32,
        &mut li,
        core::ptr::null_mut(),
    );
    if s == 0x103 /* STATUS_PENDING */ {
        WaitForSingleObject(h_event, u32::MAX);
    }
    s
}

MITRE ATT&CK-Mappings

• T1003.001OS Credential Dumping: LSASS Memorymitre ↗
• T1555.003Credentials from Web Browsersmitre ↗
• T1005Data from Local Systemmitre ↗
• T1106Native APImitre ↗