NtAccessCheckByType

Prototipo

NTSTATUS NtAccessCheckByType(
  PSECURITY_DESCRIPTOR  SecurityDescriptor,
  PSID                  PrincipalSelfSid,
  HANDLE                ClientToken,
  ACCESS_MASK           DesiredAccess,
  POBJECT_TYPE_LIST     ObjectTypeList,
  ULONG                 ObjectTypeListLength,
  PGENERIC_MAPPING      GenericMapping,
  PPRIVILEGE_SET        PrivilegeSet,
  PULONG                PrivilegeSetLength,
  PACCESS_MASK          GrantedAccess,
  PNTSTATUS             AccessStatus
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 63 00 00 00      mov eax, 0x63
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Primo extendido de `NtAccessCheck` que entiende una *jerarquía de objeto tipado*. Donde `NtAccessCheck` evalúa una DACL contra un DesiredAccess, `NtAccessCheckByType` recorre una `OBJECT_TYPE_LIST` (raíz → tipos hijos, identificados por GUID) y puede conceder el acceso solicitado a nivel padre mientras lo deniega en un tipo hijo específico — el modelo que usa AD para permisos finos como 'Read All Properties' frente a 'Read PasswordLastSet'. Las ACE object-specific (`ACCESS_ALLOWED_OBJECT_ACE`, `ACCESS_DENIED_OBJECT_ACE`) llevan un GUID que coincide con una de las entradas OBJECT_TYPE_LIST. El número de syscall `0x63` es estable desde Windows 10 1507 hasta Server 2025 y Win11 24H2 — uno de los syscalls más estables de la tabla.

Uso común por malware

Señal de malware débil — esta es una primitiva de seguridad self-service usada por **software del lado servidor**, no por malware. Aparece en rutas de autorización de Active Directory (lsass.exe, dsamain.exe), en COM+/Component Services (catsrv.dll), en Authorization Manager (azroles.dll) y en algún código broker de acceso MS-SQL. Los usos ofensivos documentados se limitan a: (1) reconocimiento AD de privilegio, donde un atacante invoca AccessCheckByType localmente contra su propio token más un descriptor de seguridad obtenido de un DC para enumerar exactamente qué atributos AD el principal actual puede leer/escribir — equivalente a la recolección de derechos de usuario de BloodHound pero del lado cliente y sin ruido de red; (2) cierta investigación de bypass UAC basada en COM lo ha usado para verificar que una cadena de exploit realmente cambia un bit de acceso previamente denegado. No hay uso documentado de familia de malware mayor como primitiva principal.

Oportunidades de detección

La señal telemétrica es esencialmente nula para el syscall en sí — demasiado ruidoso en cargas legítimas AD y COM+ para alarmar. Los defensores se centran en cambio en: auditoría de acceso a objeto (Event ID 4663) del lado de los propietarios de recursos (AD vía 4662 'object operation', COM+ vía auditoría de Component Services), que se dispara *tras* la decisión AccessCheckByType. ETW Microsoft-Windows-Security-Auditing cubre la categoría de auditoría AD. Para apps COM y Authorization Manager, proveedores ETW AppLog custom pueden emitir veredictos de access-check. Desde la óptica EDR, AccessCheckByType invocado por un proceso no-servidor apuntando a un descriptor de objeto AD (reconocible por los GUIDs en el OBJECT_TYPE_LIST) es un indicador débil de reconocimiento estilo BloodHound.

Ejemplos de syscalls directos

; Direct syscall stub for NtAccessCheckByType (SSN 0x63 stable across all builds)
NtAccessCheckByType PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 63h          ; SSN — stable everywhere
    syscall
    ret
NtAccessCheckByType ENDP

// AD authorization sample: the caller wants to read the 'unicodePwd' attribute
// on a user object. OBJECT_TYPE_LIST has the user class at level 0 and the
// attribute at level 1; AccessCheckByType returns per-level masks.
#include <windows.h>
#include <accctrl.h>
#include <aclapi.h>

BOOL CheckCanReadAttribute(PSECURITY_DESCRIPTOR sd, HANDLE clientToken,
                           const GUID* classGuid, const GUID* attrGuid)
{
    OBJECT_TYPE_LIST otl[2] = {
        { ACCESS_OBJECT_GUID, 0, (GUID*)classGuid },
        { ACCESS_PROPERTY_GUID, 0, (GUID*)attrGuid },
    };
    GENERIC_MAPPING gm = { 0x20094, 0x20028, 0, 0xF01FF };
    PRIVILEGE_SET ps; ULONG psLen = sizeof(ps);
    ACCESS_MASK granted = 0; BOOL accessStatus = FALSE;

    return AccessCheckByType(sd, NULL, clientToken, ACTRL_DS_READ_PROP,
        otl, 2, &gm, &ps, &psLen, &granted, &accessStatus) && accessStatus;
}

// Variant: caller passes its own impersonation token plus a DC-fetched SD
// for a target object and probes a list of attribute GUIDs to discover the
// effective rights without round-tripping LDAP queries to the DC.
#include <windows.h>
#include <stdio.h>

void EnumerateLocalRights(PSECURITY_DESCRIPTOR sd, HANDLE myToken,
                          const GUID* classGuid,
                          const GUID* attrGuids, size_t n)
{
    for (size_t i = 0; i < n; ++i) {
        if (CheckCanReadAttribute(sd, myToken, classGuid, &attrGuids[i])) {
            wprintf(L"+ readable attr %zu\n", i);
        }
    }
}

Mapeos MITRE ATT&CK

• T1087.002Account Discovery: Domain Accountmitre ↗
• T1069.002Permission Groups Discovery: Domain Groupsmitre ↗
• T1106Native APImitre ↗