NtRollbackTransaction

Prototyp

NTSTATUS NtRollbackTransaction(
  HANDLE  TransactionHandle,
  BOOLEAN Wait
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 8F 01 00 00      mov eax, 0x18F     ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Bricht die Transaktion auf KTM-Ebene ab. Jede NTFS-Änderung innerhalb der Transaktion wird durch Wiedergabe des CLFS-Undo-Logs in den Zustand vor der Transaktion zurückversetzt. Entscheidend: **bereits aus einer transaktionalen Datei erzeugte Sections bleiben gültig** — der Kernel invalidiert `SectionObject->ControlArea->FilePointer`-Mappings nicht, nur weil die zugrundeliegende Datei zurückgerollt wurde. Diese Entkopplung ist das gesamte Fundament von Process Doppelgänging.

Häufige Malware-Nutzung

Der Schlusszug des kanonischen **Process Doppelgänging** (T1055.013). Nachdem das bösartige Payload in eine transaktionale Datei geschrieben *und* eine Section daraus erstellt wurde, beseitigt der Rollback die Beweise auf der Platte. Die Datei verschwindet entweder ganz oder kehrt zu ihrem Vor-Transaktionszustand zurück (oft eine saubere Kopie einer signierten Microsoft-Binärdatei), während die Section im Speicher — weiterhin durch die bösartigen Bytes gestützt — zum Spawnen eines Prozesses dient. Aus Sicht der Prozesserzeugung im Kernel zeigt der Image File Name weiterhin auf die saubere zurückgerollte Datei: das umgeht hashbasierte AV-Scans der On-Disk-Datei und die meisten signaturbasierten Product-Image-Lookups. SynAck (2018), Osiris/Kronos-Bankervarianten und der ursprüngliche enSilo-PoC beenden die Kette alle mit diesem Aufruf.

Erkennungs­möglichkeiten

Der ETW-Provider `Microsoft-Windows-Kernel-File` liefert Rollback-Events; die Korrelation mit Section-Erstellungen auf demselben `FileObject` ergibt die treffsicherste Doppelgänging-Hunting-Query. Microsoft Defender for Endpoint hat nach 2018 eine Verhaltenserkennung für das Muster Create–Write–Section–Rollback hinzugefügt. Unabhängige Detektionsvektoren: zum Prozess-Erstellungszeitpunkt den Hash von `PEB->ProcessParameters->ImagePathName` mit der On-Disk-Datei vergleichen und Abweichungen melden. Kernel-Mode-Callbacks via `PsSetCreateProcessNotifyRoutineEx` erhalten `CREATE_PROCESS_NOTIFY_INFO->FileObject`, das weiterhin auf die (nun zurückgerollte) transaktionale Datei zeigt — der `FileObject->SectionObjectPointer->ImageSectionObject` kann bereits detached sein, was für sich genommen anomal ist.

Direkte Syscall-Beispiele

// Final step of Process Doppelgänging — section is already created.
// After this call, the on-disk file is restored, but hSection still maps payload.

NTSTATUS s = NtRollbackTransaction(hTransaction, /*Wait=*/ TRUE);
if (!NT_SUCCESS(s)) return s;

NtClose(hTransactedFile);
NtClose(hTransaction);

// Spawn process from the orphaned section.
HANDLE hProcess = NULL;
NtCreateProcessEx(
    &hProcess,
    PROCESS_ALL_ACCESS,
    NULL,
    NtCurrentProcess(),
    PROCESS_CREATE_FLAGS_INHERIT_HANDLES,
    hSection,
    NULL, NULL, FALSE);

; NtRollbackTransaction direct stub — SSN 0x18F on Win11 24H2
NtRollbackTransaction PROC
    mov  r10, rcx
    mov  eax, 18Fh
    syscall
    ret
NtRollbackTransaction ENDP

use ntapi::ntxcapi::NtRollbackTransaction;
use winapi::shared::ntdef::HANDLE;

unsafe fn rollback(tx: HANDLE) {
    let status = NtRollbackTransaction(tx, 1 /* TRUE */);
    assert!(status >= 0, "rollback failed: 0x{:X}", status);
}

MITRE ATT&CK-Mappings

• T1055.013Process Doppelgängingmitre ↗
• T1027Obfuscated Files or Informationmitre ↗
• T1106Native APImitre ↗