NtSetInformationToken

Prototyp

NTSTATUS NtSetInformationToken(
  HANDLE                  TokenHandle,
  TOKEN_INFORMATION_CLASS TokenInformationClass,
  PVOID                   TokenInformation,
  ULONG                   TokenInformationLength
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 AD 01 00 00      mov eax, 0x1AD
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Der Kernel-Router von `SetTokenInformation`. Interessante Klassen: `TokenIntegrityLevel` (25) — Mandatory-Label-SID überschreiben, hebt oder (häufiger) senkt die Integrität des Tokens; `TokenSessionId` (12) — ändert die Session, in der das Token läuft, erfordert SeTcbPrivilege, von Services genutzt, um in die Session eines angemeldeten Benutzers zu pivotieren; `TokenPrivileges` (3) — gepaart mit `NtAdjustPrivilegesToken`, erlaubt großflächigen Ersatz des Privilegien-Sets; `TokenLinkedToken` (19) — gefiltertes Token mit seinem Full-Admin-Zwilling im Split-Token-UAC-Kontext koppeln; `TokenUIAccess` (26) — kippt das Bit, das dem Token erlaubt, die UI von Prozessen höherer IL zu bedienen (UIPI-Bypass). Das Setzen der meisten Klassen verlangt, dass das Token mit passendem TOKEN_ADJUST_* geöffnet ist; einige (TokenSessionId, TokenAuditPolicy) fordern systemweite Privilegien.

Häufige Malware-Nutzung

Drei hochwertige Rezepte. (1) Integritäts-Absenkung: Token eines Ziel-Kindes mit TOKEN_ADJUST_DEFAULT öffnen, TokenIntegrityLevel auf Low- oder Untrusted-SID setzen — ergibt eine AppContainer-nahe Sandbox ohne die volle LowBox-Maschinerie, manchmal, um einen Stealth-Helfer zu starten, den ein neugieriger Admin kaum enumerieren kann. (2) Session-Pivot: Ein SYSTEM-Service in Session 0 nutzt TokenSessionId, um ein dupliziertes SYSTEM-Token in Session 1 zu schieben — so kann `CreateProcessAsUser` interaktive Payloads ausliefern (in einigen Commodity-RATs und Service-to-Desktop-Tools beobachtet). (3) UAC-Bypass-Baustein: im Split-Token TokenLinkedToken austauschen, um den elevierten Zwilling anzuhängen, dann erneut impersonieren — Variante von T1548.002. UIAccess-Flips nutzen sneaky GUI-Injectors (FinFisher-Klasse), um UIPI bei MSAA-Controls höherer IL-Apps zu umgehen.

Erkennungs­möglichkeiten

Microsoft-Windows-Threat-Intelligence-ETW emittiert Events für `TokenIntegrityLevel`- und `TokenSessionId`-Änderungen (`EtwTiLogSetTokenAttributes`). Defender for Endpoint zeigt das als `TokenManipulation`. Sysmon loggt es nicht direkt, aber ein Prozess, der `NtOpenProcessToken` und dann `NtSetInformationToken(class=25)` gegen eine *fremde* PID absetzt, ist verdächtig. Für SessionId-Wechsel mit nachfolgendem `NtCreateUserProcess` mit `TokenSessionId` != `ParentSessionId` korrelieren. UIAccess-Flips erzeugen Security-Event 4703 (Privilegien-Anpassung) nur indirekt über Nebeneffekt-Privilegien; verlässliche Detection braucht das Kernel-ETW-Signal.

Direkte Syscall-Beispiele

// Build a TOKEN_MANDATORY_LABEL pointing at the Low integrity SID, then apply.
#include <sddl.h>
typedef NTSTATUS(NTAPI* fnSet)(HANDLE, ULONG, PVOID, ULONG);

BOOL DropToLow(HANDLE hToken) {
    PSID pSid = NULL;
    if (!ConvertStringSidToSidA("S-1-16-4096" /* Low */, &pSid)) return FALSE;
    TOKEN_MANDATORY_LABEL tml = { { pSid, SE_GROUP_INTEGRITY } };
    HMODULE n = GetModuleHandleA("ntdll.dll");
    fnSet pSet = (fnSet)GetProcAddress(n, "NtSetInformationToken");
    DWORD len = (DWORD)(sizeof(tml) + GetLengthSid(pSid));
    NTSTATUS s = pSet(hToken, 25 /* TokenIntegrityLevel */, &tml, len);
    LocalFree(pSid);
    return s == 0;
}

// SYSTEM in session 0 pushes a duplicated token into the active console session
// so CreateProcessAsUser can drop an interactive payload on the user's desktop.
// Requires SeTcbPrivilege already enabled on the source token.
typedef NTSTATUS(NTAPI* fnSet)(HANDLE, ULONG, PVOID, ULONG);

BOOL RetargetSession(HANDLE hDupToken, DWORD targetSessionId) {
    HMODULE n = GetModuleHandleA("ntdll.dll");
    fnSet pSet = (fnSet)GetProcAddress(n, "NtSetInformationToken");
    NTSTATUS s = pSet(hDupToken, 12 /* TokenSessionId */, &targetSessionId, sizeof(DWORD));
    return s == 0;
}

// Flipping TokenUIAccess on a token whose process is signed with uiAccess=true in its manifest
// lets that process drive MSAA controls of higher-IL windows. Abused by GUI injectors.
use windows_sys::Win32::System::LibraryLoader::{GetModuleHandleA, GetProcAddress};

type NtSetInformationToken = unsafe extern "system" fn(
    token: isize, class: u32, info: *mut u8, len: u32,
) -> i32;

pub unsafe fn set_ui_access(token: isize, enable: bool) -> i32 {
    let n = GetModuleHandleA(b"ntdll.dll\0".as_ptr());
    let addr = GetProcAddress(n, b"NtSetInformationToken\0".as_ptr()).unwrap();
    let f: NtSetInformationToken = std::mem::transmute(addr);
    let mut v: u32 = if enable { 1 } else { 0 };
    f(token, 26 /* TokenUIAccess */, &mut v as *mut _ as *mut u8, 4)
}

MITRE ATT&CK-Mappings

• T1134Access Token Manipulationmitre ↗
• T1548.002Bypass User Account Controlmitre ↗
• T1106Native APImitre ↗