NtAccessCheckByTypeResultList

Prototipo

NTSTATUS NtAccessCheckByTypeResultList(
  PSECURITY_DESCRIPTOR  SecurityDescriptor,
  PSID                  PrincipalSelfSid,
  HANDLE                ClientToken,
  ACCESS_MASK           DesiredAccess,
  POBJECT_TYPE_LIST     ObjectTypeList,
  ULONG                 ObjectTypeListLength,
  PGENERIC_MAPPING      GenericMapping,
  PPRIVILEGE_SET        PrivilegeSet,
  PULONG                PrivilegeSetLength,
  PACCESS_MASK          GrantedAccessList,
  PNTSTATUS             AccessStatusList
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 64 00 00 00      mov eax, 0x64
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Como NtAccessCheckByType pero devuelve un *vector* de decisiones de acceso — una entrada por elemento de ObjectTypeList — en lugar de un veredicto compuesto único. El caso de uso canónico es Active Directory: un único intento de leer un objeto de usuario puede requerir simultáneamente la evaluación del objeto en sí más varias ACE de property sets (p. ej. Personal-Information, Public-Information, Account-Restrictions). La lista de resultados permite al llamante reportar exactamente qué property set fue denegado. El SSN `0x64` ha sido estable en todas las builds soportadas desde 1507. No hay efecto secundario de emisión de auditoría — combinar con NtAccessCheckByTypeResultListAndAuditAlarm cuando la SACL exija el log.

Uso común por malware

Prácticamente nula. La función la consumen LSASS, NTDS y los componentes SAM/AD-aware; el malware commodity no tiene razón para hacer comprobaciones ACL estructuradas tipo AD. El ángulo malware es inverso: los atacantes consultan ACLs de AD (BloodHound, PowerView) para *evitar* operaciones que dispararían comprobaciones audit-alarm en otro lugar.

Oportunidades de detección

En un controlador de dominio, la tasa de llamadas la domina ntdsa.dll dentro de lsass.exe. Llamantes anómalos (cualquiera fuera de {lsass.exe, services.exe, un servicio AD firmado por MS}) merecen marcado vía ETW Microsoft-Windows-Kernel-Audit-API-Calls. En una estación de trabajo la llamada es rara fuera de las rutas de validación de credenciales en LSASS; imágenes poco comunes invocándola merecen investigación.

Ejemplos de syscalls directos

; Direct syscall stub for NtAccessCheckByTypeResultList (SSN 0x64, Win10 1507+)
NtAccessCheckByTypeResultList PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 64h          ; SSN
    syscall
    ret
NtAccessCheckByTypeResultList ENDP

// Evaluate read access against an AD user object plus two property sets.
OBJECT_TYPE_LIST otl[3] = {
    { ACCESS_OBJECT_GUID, 0, &GUID_USER_OBJECT },             // level 0
    { ACCESS_PROPERTY_SET_GUID, 0, &GUID_PERSONAL_INFO },    // level 1
    { ACCESS_PROPERTY_SET_GUID, 0, &GUID_PUBLIC_INFO },      // level 1
};
ACCESS_MASK granted[3] = {0};
NTSTATUS    statuses[3] = {0};
PRIVILEGE_SET privs;
ULONG       privs_len = sizeof privs;

NTSTATUS rc = NtAccessCheckByTypeResultList(
    pSd, NULL, hClientToken,
    READ_CONTROL | ADS_RIGHT_DS_READ_PROP,
    otl, ARRAYSIZE(otl),
    &g_DsGenericMapping,
    &privs, &privs_len,
    granted, statuses);

// Inspect statuses[0..2] to report which property set was denied.

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗