NtSetInformationObject

Prototyp

NTSTATUS NtSetInformationObject(
  HANDLE                   Handle,
  OBJECT_INFORMATION_CLASS ObjectInformationClass,
  PVOID                    ObjectInformation,
  ULONG                    ObjectInformationLength
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 5C 00 00 00      mov eax, 0x5C
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

SSN `0x5C` ist über alle abgedeckten Builds stabil. NtSetInformationObject akzeptiert sinnvoll nur die Klasse **ObjectHandleFlagInformation (4)** mit einer 2-Byte-Struktur: zwei BOOLEAN, `Inherit` und `ProtectFromClose`. Es ist die Kernel-Primitive hinter Win32 `SetHandleInformation`. Setzen von `ProtectFromClose=TRUE` führt dazu, dass nachfolgende NtClose-Aufrufe auf das Handle STATUS_HANDLE_NOT_CLOSABLE zurückgeben, ohne die Referenz freizugeben — der Kernel behält den Eintrag, ein erneutes Flippen auf FALSE erlaubt das Schließen wieder. Inherit ist nur zur CreateProcess-Zeit relevant (Handle landet in der Childtable).

Häufige Malware-Nutzung

Bekannt als Gegenmaßnahme zur klassischen Anti-Debug-Probe `NtClose(0xDEADBEEF) -> STATUS_INVALID_HANDLE`: Malware setzt `ProtectFromClose` auf eigene echte Handles, bevor sie defensiv NtClose darauf aufruft, sodass die geschützten Handles überleben, selbst wenn ein Debugger den Close-Pfad stört (Themida und VMProtect bringen den Trick mit). Auch Baustein der **Anti-NtClose-Gegen-Gegenmaßnahme**: `ProtectFromClose=TRUE` auf ein bewusst ungültiges Handle bringt STATUS_INVALID_HANDLE unter angeschlossenem Debugger zum Verstummen. Obskurere Nutzung: Manipulation der Vererbung unmittelbar vor CreateProcessAsUser, um exakt zu steuern, welche Handles in einen sandboxed Child leaken (genutzt von einigen sandbox-bewussten Loadern, um ein privilegiertes Token weiterzureichen, ohne dem Child PROCESS_DUP_HANDLE zu gewähren).

Erkennungs­möglichkeiten

Sehr geringes Aufrufvolumen in legitimer Software außerhalb von Office, WSL und Console Hosts. Sysmon protokolliert diesen Syscall derzeit nicht, er ist aber über ETW Microsoft-Windows-Kernel-Audit-API-Calls sichtbar und über ObRegisterCallbacks erreichbar. Hochwertige Detektion: **ProtectFromClose=TRUE auf Standardhandles (0xFFFFFFFE/-1 = Pseudo-Handle des aktuellen Prozesses) oder auf Handles in einem Prozess, dessen Parent kürzlich ntdll verdächtig gemappt hat** — extreme Ausreißer. Hersteller korrelieren zudem ProtectFromClose-Flips, denen sofort NtClose-Aufrufe mit Nicht-Null-Return folgen (Anti-Debug-Muster).

Direkte Syscall-Beispiele

; Direct syscall stub for NtSetInformationObject (SSN 0x5C, all builds)
NtSetInformationObject PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 5Ch          ; SSN
    syscall
    ret
NtSetInformationObject ENDP

// Defeat NtClose-based anti-debug probes by marking the handle non-closable
// before any defensive NtClose() call.
#include <windows.h>

#define ObjectHandleFlagInformation 4

typedef struct _OBJECT_HANDLE_FLAG_INFORMATION {
    BOOLEAN Inherit;
    BOOLEAN ProtectFromClose;
} OBJECT_HANDLE_FLAG_INFORMATION;

typedef NTSTATUS (NTAPI *pNtSetInformationObject)(
    HANDLE, ULONG, PVOID, ULONG);

BOOL ProtectHandle(HANDLE h) {
    pNtSetInformationObject NtSetInformationObject = (pNtSetInformationObject)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtSetInformationObject");
    OBJECT_HANDLE_FLAG_INFORMATION info = { FALSE, TRUE };
    NTSTATUS s = NtSetInformationObject(h, ObjectHandleFlagInformation,
                                        &info, sizeof(info));
    return NT_SUCCESS(s);
}

// Cargo: ntapi = "0.4"
// Make a privileged token handle non-inheritable just before spawning a
// low-integrity child via CreateProcessAsUser. Combined with bInheritHandles=
// FALSE this gives belt-and-braces leak control.
use ntapi::ntobapi::NtSetInformationObject;

const ObjectHandleFlagInformation: u32 = 4;

#[repr(C)]
struct ObjectHandleFlagInfo { inherit: u8, protect_from_close: u8 }

pub unsafe fn strip_inherit(h: isize) {
    let info = ObjectHandleFlagInfo { inherit: 0, protect_from_close: 0 };
    let _ = NtSetInformationObject(
        h as _,
        ObjectHandleFlagInformation as _,
        &info as *const _ as _,
        std::mem::size_of::<ObjectHandleFlagInfo>() as u32,
    );
}

MITRE ATT&CK-Mappings

• T1622Debugger Evasionmitre ↗
• T1106Native APImitre ↗