NtTerminateEnclave

Prototyp

NTSTATUS NtTerminateEnclave(
  PVOID    BaseAddress,
  BOOLEAN  WaitForThread
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 D1 01 00 00      mov eax, 0x1D1
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

`NtTerminateEnclave` ist der **Destruktor** des Enklaven-Lifecycle. Er markiert die Enklave als terminiert, gibt die VTL1-Backing-Pages frei und unmappt die VTL0-Sicht. Bei `WaitForThread = TRUE` wartet der Kernel, bis jeder Host-Thread, der per `NtCallEnclave` eingetreten ist, natürlich zurückkehrt — der saubere Shutdown, den `DeleteEnclave` nutzt. Bei `FALSE` nutzt der Kernel einen Asynchronous Enclave Exit (AEX), um aktive Threads am nächsten Interrupt-Punkt herauszuzwingen; der Host kann das als `STATUS_ENCLAVE_NOT_TERMINATED` bei einem konkurrenten `NtCallEnclave` sehen. Nach Rückkehr ist die Basisadresse ungültig — jeder Host-Lesezugriff löst einen normalen Page Fault aus.

Häufige Malware-Nutzung

Geringes offensives Interesse. Die interessante Arbeit passiert in `NtCallEnclave`; Termination ist meist Aufräumen. Nischennutzung: ein Angreifer, der eine kurzlebige enklaven-gehostete Payload gebootet hat (z. B. ein eingewickeltes Geheimnis via Microsoft-signiertem Enklaven-Bug extrahiert), ruft `NtTerminateEnclave` direkt danach auf, um die Forensik-Oberfläche zu minimieren — VTL1-Pages und Enklaven-interner Heap werden vor einer möglichen Sysmon-/EDR-Enumeration freigegeben und genullt.

Erkennungs­möglichkeiten

Vor allem Korrelations-Signal — ein enger `NtCreateEnclave` … `NtTerminateEnclave`-Window ohne persistente Host-seitige Enklaven-Referenzen passt zu One-Shot-Missbrauch; legitime Trustlets (LsaIso, vmms) halten Enklaven über die gesamte Host-Lebenszeit. Der ETW-Provider `Microsoft-Windows-Kernel-Memory` zeichnet sowohl Create als auch Terminate auf, das Paar lässt sich also nachträglich rekonstruieren. Termination alleine ist benign; auf das Create-Call-Terminate-Burst-Muster fokussieren.

Direkte Syscall-Beispiele

// Tear down a VBS enclave and wait for in-flight threads.
#include <windows.h>

BOOL ShutdownEnclave(PVOID enclaveBase) {
    if (!TerminateEnclave(enclaveBase, TRUE /*WaitForThread*/)) {
        return FALSE;
    }
    return DeleteEnclave(enclaveBase); // releases the host-side reservation
}

; Direct syscall stub for NtTerminateEnclave (SSN 0x1D1 on Win11 24H2 / Server 2025)
NtTerminateEnclave PROC
    mov  r10, rcx          ; BaseAddress
    mov  eax, 1D1h         ; SSN
    syscall
    ret
NtTerminateEnclave ENDP

MITRE ATT&CK-Mappings

• T1620Reflective Code Loadingmitre ↗
• T1106Native APImitre ↗