NtSetVolumeInformationFile

Prototyp

NTSTATUS NtSetVolumeInformationFile(
  HANDLE                 FileHandle,
  PIO_STATUS_BLOCK       IoStatusBlock,
  PVOID                  FsInformation,
  ULONG                  Length,
  FS_INFORMATION_CLASS   FsInformationClass
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 C4 01 00 00      mov eax, 0x1C4
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Deutlich seltener als das `Query`-Pendant, weil die FS_INFORMATION_CLASS-Werte, die Filesystems auf dem `Set`-Pfad tatsächlich akzeptieren, begrenzt sind: `FileFsLabelInformation` (Volume umbenennen), `FileFsControlInformation` (Quoten-Policy auf NTFS) und `FileFsObjectIdInformation` (NTFS-Object-Id-Zuweisung). Die meisten anderen Klassen liefern `STATUS_INVALID_INFO_CLASS`. Das IRP läuft über `IRP_MJ_SET_VOLUME_INFORMATION` und erreicht NTFS bei `NtfsFsdSetVolumeInformation`. Das Umbenennen eines Volumes erfordert das Privileg `SE_MANAGE_VOLUME_NAME`, das interaktive Administratoren und `LocalSystem` haben — Standardbenutzer jedoch nicht — sodass der Einsatz dieses Syscalls aus einem Nicht-Admin-Kontext für sich genommen ungewöhnliche Telemetrie ist.

Häufige Malware-Nutzung

Nische, aber sichtbar. Eine Handvoll Ransomware-Familien — bekanntester Fall **Petya/NotPetya** (2017, MBR-Verschlüsseler) und einige **Babuk**- / **DarkSide**-Affiliates — setzen `FileFsLabelInformation`, um den Volume-Namen mit ihrer Marke oder einem `READ_ME_*`-String zu überschreiben, sodass jeder Pre-Boot-Recovery-Bildschirm oder `dir C:\` den Lösegeld-Marker anzeigt, bevor der Benutzer die Notiz öffnet. **BlackMatter** (2021) benannte Labels in einen kurzen Hash um, der zur Ransom-ID passte. Jenseits von Ransomware ist der Aufruf von Commodity-Malware praktisch ungenutzt — es gibt hier keine offensive Primitive, nur Branding.

Erkennungs­möglichkeiten

Microsoft Defender for Endpoint zeigt Label-Änderungen über `DeviceEvents` ActionType `VolumeMounted` / `VolumeRenamed`. Sysmon deckt das *nicht* direkt ab, aber IRP-Traces des ETW-Providers `Microsoft-Windows-Kernel-File` zeigen `IRP_MJ_SET_VOLUME_INFORMATION` mit Klasse 2 (`FileFsLabelInformation`). Weil der privilegierte Pfad so schmal ist, sollte *jeder* `NtSetVolumeInformationFile(FileFsLabelInformation)` aus einem nicht vertrauenswürdigen Prozess — alles, was nicht `explorer.exe`, `cmd.exe label`, `format.com` oder ein bekanntes Backup-Produkt ist — als Ransomware-Indikator hoher Konfidenz gelten, insbesondere wenn Sekunden zuvor mit `NtQueryVolumeInformationFile` alle Laufwerksbuchstaben enumeriert wurden.

Direkte Syscall-Beispiele

; Direct syscall stub for NtSetVolumeInformationFile (SSN 0x1C4 on Win11 24H2 / Server 2025)
NtSetVolumeInformationFile PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1C4h         ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtSetVolumeInformationFile ENDP

// Requires SE_MANAGE_VOLUME_NAME privilege. Petya/NotPetya stamped
// volume labels with their ransom marker — visible in pre-boot UI.
#include <ntstatus.h>

typedef struct _FILE_FS_LABEL_INFORMATION {
    ULONG VolumeLabelLength;        // bytes, not chars
    WCHAR VolumeLabel[1];
} FILE_FS_LABEL_INFORMATION;

WCHAR  label[] = L"READ_ME_NOW";
SIZE_T bytes   = sizeof(label) - sizeof(WCHAR);
BYTE   buf[sizeof(FILE_FS_LABEL_INFORMATION) + sizeof(label)];
FILE_FS_LABEL_INFORMATION* p = (FILE_FS_LABEL_INFORMATION*)buf;
p->VolumeLabelLength = (ULONG)bytes;
memcpy(p->VolumeLabel, label, bytes);

IO_STATUS_BLOCK iosb;
NTSTATUS st = NtSetVolumeInformationFile(
    hVolumeRoot, &iosb, p,
    (ULONG)(sizeof(FILE_FS_LABEL_INFORMATION) + bytes),
    2 /* FileFsLabelInformation */);

// Cargo: windows-sys = "0.59" (Win32_Storage_FileSystem)
use windows_sys::Win32::Storage::FileSystem::SetVolumeLabelW;
use std::ffi::OsStr;
use std::os::windows::ffi::OsStrExt;

// Internally calls NtSetVolumeInformationFile(FileFsLabelInformation).
fn relabel(root: &str, label: &str) -> bool {
    let to_wide = |s: &str| -> Vec<u16> { OsStr::new(s).encode_wide().chain(Some(0)).collect() };
    let r = to_wide(root);
    let l = to_wide(label);
    unsafe { SetVolumeLabelW(r.as_ptr(), l.as_ptr()) != 0 }
}

MITRE ATT&CK-Mappings

• T1486Data Encrypted for Impactmitre ↗
• T1491.001Internal Defacementmitre ↗
• T1106Native APImitre ↗