NtAccessCheckAndAuditAlarm

Prototipo

NTSTATUS NtAccessCheckAndAuditAlarm(
  PUNICODE_STRING       SubsystemName,
  PVOID                 HandleId,
  PUNICODE_STRING       ObjectTypeName,
  PUNICODE_STRING       ObjectName,
  PSECURITY_DESCRIPTOR  SecurityDescriptor,
  ACCESS_MASK           DesiredAccess,
  PGENERIC_MAPPING      GenericMapping,
  BOOLEAN               ObjectCreation,
  PACCESS_MASK          GrantedAccess,
  PNTSTATUS             AccessStatus,
  PBOOLEAN              GenerateOnClose
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 29 00 00 00      mov eax, 0x29
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

La comprobación de acceso audit-alarm original no-tipada — antecede a las variantes ByType / ResultList por varias generaciones de Windows y sigue siendo el dispatcher usado para objetos de ACL plana (ficheros, claves de registro, mutexes kernel, secciones). Produce el evento de Seguridad 4663 ("Se intentó acceder a un objeto") cuando la SACL o el AUDIT_EVENT_TYPE fuerza la emisión. La función es el back-end kernel del wrapper Win32 AccessCheckAndAuditAlarmW. El SSN `0x29` está fijado desde Windows 10 1507 — toda la familia `*AuditAlarm` se agrupa en el rango bajo de syscalls anterior a las renumeraciones post-1909, uno de los pocos puntos de referencia estables del Windows moderno.

Uso común por malware

Insignificante. El propósito mismo del syscall es dejar rastro escrito; los autores de malware lo evitan por la misma razón. El patrón de ataque interesante no es *invocarlo* — es lograr que *no se invoque* cuando debería. Los adversarios que necesitan operar sobre objetos con SACL sin dejar 4663 (a) deterioran por completo el subsistema de auditoría (T1562.002 vía detener EventLog, quitar SACL en registro, o hooks SRM por driver), o (b) saltan el camino auditado yendo kernel-direct (lectura cruda de sectores NTFS vía \\.\PhysicalDriveN para esquivar SACLs de fichero mediadas por Object Manager, como hace el rootkit FudModule de Lazarus para lecturas del almacén de credenciales).

Oportunidades de detección

El evento 4663 es el caballo de tiro de la auditoría de acceso a objetos en cualquier endpoint Windows. En un SIEM bien afinado el volumen se sitúa entre cientos y miles por hora por estación, dominado por accesos de la cuenta de servicio de Defender al sistema de archivos. Patrones de caza: 4663 sobre `\Device\HarddiskVolumeShadowCopy*` (acceso crudo a shadow copy, indicador de bypass Volsnap); 4663 sobre handles a lsass.exe con PROCESS_VM_READ; 4663 sobre claves de registro bajo HKLM\SECURITY\Policy\Secrets. A la inversa, una caída repentina del volumen de 4663 en horas laborables, especialmente en un controlador de dominio, es una alerta de mayor fidelidad que cualquier evento aislado.

Ejemplos de syscalls directos

; Direct syscall stub for NtAccessCheckAndAuditAlarm (SSN 0x29, Win10 1507+)
NtAccessCheckAndAuditAlarm PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 29h          ; SSN
    syscall
    ret
NtAccessCheckAndAuditAlarm ENDP

// A user-mode service evaluates a file open against the file's SD and asks
// for the audit subsystem to record a 4663 if the SACL matches.
UNICODE_STRING sub  = RTL_CONSTANT_STRING(L"Security");
UNICODE_STRING tn   = RTL_CONSTANT_STRING(L"File");
UNICODE_STRING on_  = RTL_CONSTANT_STRING(L"\\??\\C:\\Windows\\System32\\config\\SAM");
ACCESS_MASK granted = 0;
NTSTATUS access_status = STATUS_ACCESS_DENIED;
BOOLEAN gen_on_close = FALSE;

NTSTATUS rc = NtAccessCheckAndAuditAlarm(
    &sub,
    (PVOID)0xCAFE1234,
    &tn, &on_,
    pSd,
    FILE_GENERIC_READ,
    &g_FileMapping,
    FALSE,
    &granted, &access_status,
    &gen_on_close);

// 4663 emitted with the file path and the granted access mask.
// If gen_on_close, remember to call NtCloseObjectAuditAlarm later.

use windows_sys::Win32::Security::Authorization::AccessCheckAndAuditAlarmW;
use windows_sys::Win32::Security::*;

unsafe {
    let mut granted: u32 = 0;
    let mut access_status: i32 = 0;
    let mut gen_on_close: i32 = 0;

    let ok = AccessCheckAndAuditAlarmW(
        windows_sys::w!("Security"),
        handle_id as *mut _,
        windows_sys::w!("File"),
        windows_sys::w!("\\??\\C:\\Windows\\System32\\config\\SAM"),
        sd_ptr,
        desired_access,
        &mapping as *const _ as *mut _,
        0, // ObjectCreation == FALSE
        &mut granted, &mut access_status, &mut gen_on_close,
    );
    // ok != 0 -> call succeeded; access_status == 0 -> access granted; 4663 emitted.
}

Mapeos MITRE ATT&CK

• T1562.002Impair Defenses: Disable Windows Event Loggingmitre ↗
• T1106Native APImitre ↗