NtAccessCheckByTypeAndAuditAlarm

Prototipo

NTSTATUS NtAccessCheckByTypeAndAuditAlarm(
  PUNICODE_STRING       SubsystemName,
  PVOID                 HandleId,
  PUNICODE_STRING       ObjectTypeName,
  PUNICODE_STRING       ObjectName,
  PSECURITY_DESCRIPTOR  SecurityDescriptor,
  PSID                  PrincipalSelfSid,
  ACCESS_MASK           DesiredAccess,
  AUDIT_EVENT_TYPE      AuditType,
  ULONG                 Flags,
  POBJECT_TYPE_LIST     ObjectTypeList,
  ULONG                 ObjectTypeListLength,
  PGENERIC_MAPPING      GenericMapping,
  BOOLEAN               ObjectCreation,
  PACCESS_MASK          GrantedAccess,
  PNTSTATUS             AccessStatus,
  PBOOLEAN              GenerateOnClose
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 59 00 00 00      mov eax, 0x59
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Variante con auditoría de NtAccessCheckByType. La variante sin alarma devuelve la decisión de acceso y termina; esta además escribe una entrada de auditoría en el log de Seguridad si la SACL del objeto lo solicita (o si AuditType + Flags lo fuerzan). La función requiere SeAuditPrivilege — solo los llamantes que lo poseen (LSASS, el Security Reference Monitor, subsistemas kernel-mode) pueden invocarla útilmente. El SSN ha permanecido estable en `0x59` desde Windows 10 1507, lo cual es inusual pero consistente con que todos los syscalls `*AuditAlarm` preceden a las renumeraciones post-1909.

Uso común por malware

Insignificante. Por diseño, cada llamada exitosa produce una entrada en el log de Seguridad — lo opuesto a lo que quiere la mayoría del malware. Las pocas referencias in-the-wild son LSASS haciendo lo suyo (comportamiento legítimo de `lsass.exe` durante decisiones de acceso a objetos AD). Ninguna familia commodity es conocida por abusarlo. El ángulo defensivo interesante es la *ausencia* de llamadas audit-alarm esperadas cuando se toca un objeto bajo SACL, posible señal de que el atacante manipuló la SACL o el camino de dispatch del SRM.

Oportunidades de detección

Estas llamadas *son* el log de Seguridad para acceso a objetos. Los Event IDs 4656 (handle solicitado), 4658 (handle cerrado), 4660 (objeto eliminado), 4663 (intento de acceso), 4690 (handle duplicado) provienen todos de la familia NtAccessCheck*AuditAlarm + NtCloseObjectAuditAlarm + NtDeleteObjectAuditAlarm. Los defensores deben asegurar que las SACL en objetos de alto valor (proceso LSASS, contextos de nombrado AD, almacén de claves maestras DPAPI) están configuradas para activar comprobaciones audit-alarm, y tratar la ausencia de eventos esperados como señal de manipulación. El proveedor ETW Microsoft-Windows-Security-Auditing transporta los mismos datos con más detalle que el canal Eventlog heredado.

Ejemplos de syscalls directos

; Direct syscall stub for NtAccessCheckByTypeAndAuditAlarm (SSN 0x59, Win10 1507+)
; 16 args -> 4 in regs + 12 on stack per x64 calling convention.
NtAccessCheckByTypeAndAuditAlarm PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 59h          ; SSN
    syscall
    ret
NtAccessCheckByTypeAndAuditAlarm ENDP

// Sketch of how a SACL-monitored AD object access is dispatched inside LSASS.
// In production this is reached through AccessCheckByTypeAndAuditAlarmW;
// shown here against the Nt-level for clarity.

UNICODE_STRING subsystem = RTL_CONSTANT_STRING(L"Security");
UNICODE_STRING objectType = RTL_CONSTANT_STRING(L"DS-Object");
UNICODE_STRING objectName = RTL_CONSTANT_STRING(L"CN=Administrator,CN=Users,DC=contoso,DC=com");
ACCESS_MASK granted = 0;
NTSTATUS access_status = STATUS_ACCESS_DENIED;
BOOLEAN gen_on_close = FALSE;

NTSTATUS s = NtAccessCheckByTypeAndAuditAlarm(
    &subsystem,
    (PVOID)hHandleId,
    &objectType,
    &objectName,
    pSd,
    NULL,
    READ_CONTROL | ADS_RIGHT_DS_READ_PROP,
    AuditEventDirectoryServiceAccess,
    0,
    pObjectTypeList, objectTypeListCount,
    &g_DsGenericMapping,
    FALSE,
    &granted,
    &access_status,
    &gen_on_close);

// On STATUS_SUCCESS, the SRM emitted Event 4662 ("An operation was performed on an
// object") into the Security log. If gen_on_close==TRUE remember to call
// NtCloseObjectAuditAlarm when releasing the handle.

// The public Win32 wrapper is AccessCheckByTypeAndAuditAlarmW.
// windows-sys exposes it under Win32::Security::Authorization.
use windows_sys::Win32::Security::Authorization::AccessCheckByTypeAndAuditAlarmW;
use windows_sys::Win32::Security::*;
use windows_sys::core::PCWSTR;

unsafe {
    let mut granted: u32 = 0;
    let mut access_status: i32 = 0;
    let mut gen_on_close: i32 = 0;
    let rc = AccessCheckByTypeAndAuditAlarmW(
        windows_sys::w!("Security"),
        handle_id as *mut _,
        windows_sys::w!("DS-Object"),
        windows_sys::w!("CN=Administrator,..."),
        sd_ptr,
        std::ptr::null_mut(),
        desired_access,
        object_type_list.as_ptr(),
        object_type_list.len() as u32,
        0, // ObjectCreation == FALSE
        &mut granted,
        &mut access_status,
        &mut gen_on_close,
    );
    // rc != 0 means the *call* succeeded; access_status == 0 means it was granted.
}

Mapeos MITRE ATT&CK

• T1562.002Impair Defenses: Disable Windows Event Loggingmitre ↗
• T1106Native APImitre ↗