NtAccessCheck

Prototipo

NTSTATUS NtAccessCheck(
  PSECURITY_DESCRIPTOR SecurityDescriptor,
  HANDLE               ClientToken,
  ACCESS_MASK          DesiredAccess,
  PGENERIC_MAPPING     GenericMapping,
  PPRIVILEGE_SET       PrivilegeSet,
  PULONG               PrivilegeSetLength,
  PACCESS_MASK         GrantedAccess,
  PNTSTATUS            AccessStatus
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 00 00 00 00      mov eax, 0x00
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtAccessCheck ocupa literalmente la primera ranura del SSDT — SSN `0x0` en todas las builds de Windows desde NT 4 — lo cual la convierte en una curiosidad simpática pero inútil como primitiva ofensiva. Es el punto de entrada de user-mode para la lógica de chequeo de acceso *manual*: un servicio que acaba de impersonar a un cliente usa NtAccessCheck (típicamente vía el wrapper Win32 AccessCheck) para decidir si al cliente *se le permitiría* realizar una operación contra un recurso controlado por el servicio. No abre nada por sí misma — es una función de evaluación pura sobre SECURITY_DESCRIPTOR + token + GENERIC_MAPPING.

Uso común por malware

Casi nunca se usa de forma ofensiva directa. Los dos patrones que sí aparecen: (1) herramientas post-explotación que enumeran qué objetos con DACL puede alcanzar un token de impersonación robado sin abrirlos (reconocimiento silencioso — no se dispara auditoría salvo que haya SACLs configuradas); (2) código de exploit que prueba si un token forjado o reenviado concede el acceso pretendido. Evaluación honesta: NtAccessCheck está dominada por usos legítimos y es una señal débil de malware.

Oportunidades de detección

Apenas hay telemetría útil. NtAccessCheck no dispara por sí misma la auditoría de acceso a objetos (Event ID 4663) — solo lo hace el open posterior. Los eventos de privilege-use de ETW Microsoft-Windows-Security-Auditing pueden activarse si la evaluación toca un objeto con SACL, pero la cobertura es escasa. Útil como señal de *correlación*: un proceso inusual encadenando muchos NtAccessCheck contra descriptores variados y abriendo selectivamente solo los que tuvieron éxito es un patrón clásico de reconocimiento silencioso.

Ejemplos de syscalls directos

; Direct syscall stub for NtAccessCheck (SSN 0x00 on every Windows build)
NtAccessCheck PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0            ; SSN
    syscall
    ret
NtAccessCheck ENDP

// After ImpersonateNamedPipeClient / RpcImpersonateClient, the service evaluates
// whether the caller would be allowed FILE_WRITE_DATA on a private resource.
HANDLE hClientToken = NULL;
NtOpenThreadToken(NtCurrentThread(), TOKEN_QUERY, FALSE, &hClientToken);

GENERIC_MAPPING fileMapping = {
    .GenericRead    = FILE_GENERIC_READ,
    .GenericWrite   = FILE_GENERIC_WRITE,
    .GenericExecute = FILE_GENERIC_EXECUTE,
    .GenericAll     = FILE_ALL_ACCESS,
};

BYTE privBuf[256];
ULONG privLen = sizeof(privBuf);
ACCESS_MASK granted = 0;
NTSTATUS accessStatus = 0;

NtAccessCheck(pResourceSD,
              hClientToken,
              FILE_WRITE_DATA,
              &fileMapping,
              (PPRIVILEGE_SET)privBuf,
              &privLen,
              &granted,
              &accessStatus);

if (NT_SUCCESS(accessStatus) && (granted & FILE_WRITE_DATA)) {
    // proceed under impersonation
}

// Cargo: windows-sys = "0.59"  (Win32_Security)
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_access_check_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x00",
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗
• T1087Account Discoverymitre ↗