NtWriteVirtualMemory

Prototyp

NTSTATUS NtWriteVirtualMemory(
  HANDLE  ProcessHandle,
  PVOID   BaseAddress,
  PVOID   Buffer,
  SIZE_T  NumberOfBytesToWrite,
  PSIZE_T NumberOfBytesWritten
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 3A 00 00 00      mov eax, 0x3A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Implementiert von `MmCopyVirtualMemory` in ntoskrnl.exe mit `PreviousMode = UserMode`, was ein vollständiges Probe-and-Lock beider Puffer erzwingt. Die SSN `0x3A` ist auf jedem ausgelieferten Win10/11-Build unverändert geblieben — das Tabellenlayout hat diesen Eintrag schlicht nicht verschoben. Der Kernel führt die Kopie über ein transientes Mapping aus; die Zielseite muss aus dem Userland nicht beschreibbar sein, nur die Section-Permissions müssen Kernel-Schreibzugriffe zulassen. Daher gelingt das Injizieren in nur-lesbare Seiten in vielen Fällen dennoch.

Häufige Malware-Nutzung

Der `Write`-Schritt der klassischen OpenProcess → VirtualAllocEx → WriteProcessMemory → CreateRemoteThread-Kette. Wird verwendet, um Shellcode, ein PE mit bereits aufgelöster IAT oder einen Reflective-Loader-Stub in einen Remote-Prozess zu schreiben. Über reine Shellcode-Injection hinaus dient er auch zum Überschreiben von Funktionsprologen für Inline-Hooks, zum Patchen von `AMSI.dll!AmsiScanBuffer` oder `clr.jit!compileMethod` für AMSI/ETW-Bypasses sowie als Schreibprimitive in PPID-Spoofing- und Process-Doppelgänging-Varianten. Brute Ratel, Cobalt Strike, Sliver, Qakbot und IcedID setzen ihn in ihrer Loader-Kette ein.

Erkennungs­möglichkeiten

Cross-Process-Writes werden hauptsächlich über Sysmon Event ID 10 (`ProcessAccess`) sichtbar, wenn die angefragte Zugriffsmaske `PROCESS_VM_WRITE` (0x0020) oder `PROCESS_VM_OPERATION` (0x0008) enthält. Der ETW-Threat-Intelligence-Provider emittiert zusätzlich Schreib-Notifications für bestimmte geschützte Prozesse. EDRs hooken `NtWriteVirtualMemory` in ntdll; direkte Syscalls umgehen den Hook, doch der Kernel aktualisiert nach wie vor die VAD-Referenzzähler des Ziels und kann über `PsSetCreateProcessNotifyRoutineEx`-Callbacks beobachtet werden, falls der Write später eine Thread-Erzeugung auslöst. Writes, die auf Prozesse einer anderen Session zielen oder `lsass.exe` bzw. Browser-Binaries treffen, verdienen erhöhte Bewertung.

Direkte Syscall-Beispiele

; Direct syscall stub for NtWriteVirtualMemory (SSN 0x3A, stable across all Win10/11)
NtWriteVirtualMemory PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 3Ah          ; SSN
    syscall
    ret
NtWriteVirtualMemory ENDP

// Write shellcode into a previously-allocated remote region.
SIZE_T written = 0;
NTSTATUS st = NtWriteVirtualMemory(hRemote, remote_base,
                                   shellcode, shellcode_len, &written);
if (!NT_SUCCESS(st) || written != shellcode_len) {
    // partial write: typically PAGE_NOACCESS encountered halfway
    return st;
}

// Cargo: ntapi = "0.4"
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_write_virtual_memory_stub() {
    // SSN 0x3A across every supported build.
    asm!(
        "mov r10, rcx",
        "mov eax, 0x3A",
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1055.002Portable Executable Injectionmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1106Native APImitre ↗