NtAdjustGroupsToken

Prototipo

NTSTATUS NtAdjustGroupsToken(
  HANDLE         TokenHandle,
  BOOLEAN        ResetToDefault,
  PTOKEN_GROUPS  NewState,
  ULONG          BufferLength,
  PTOKEN_GROUPS  PreviousState,
  PULONG         ReturnLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 6C 00 00 00      mov eax, 0x6C
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

El lado kernel de la API Win32 `AdjustTokenGroups`. Hermano de `NtAdjustPrivilegesToken` — los privilegios viven en TOKEN_PRIVILEGES, la pertenencia a grupos en TOKEN_GROUPS. `NtAdjustGroupsToken` no puede *añadir* un SID a un token; solo puede habilitar, deshabilitar o restaurar-default los SIDs ya presentes (habilitados, deshabilitados, deny-only o restricted). Para desactivar el atributo SE_GROUP_USE_FOR_DENY_ONLY de un SID típicamente hay que pasar primero por `NtFilterToken` para producir una variante no-deny. Cada SID en NewState se empareja con una máscara Attributes (SE_GROUP_ENABLED, SE_GROUP_ENABLED_BY_DEFAULT, SE_GROUP_OWNER, SE_GROUP_USE_FOR_DENY_ONLY); proporcionar SE_GROUP_ENABLED sobre un SID previamente deshabilitado lo activa.

Uso común por malware

**Reactivación de SID de grupo para cadenas de escalada de privilegio**: la configuración canónica es un atacante que ha robado un token (vía SeImpersonatePrivilege, Rotten/Juicy Potato, PrintSpoofer, etc.) que contiene BUILTIN\Administrators como SID deny-only (estado típico bajo UAC split-token IL Medium). El atacante invoca NtFilterToken o duplica el token para producir una variante no-deny, luego NtAdjustGroupsToken para reactivar SE_GROUP_ENABLED sobre el SID Administrators — concediendo instantáneamente pertenencia admin en el hilo vivo sin prompt UAC interactivo. Menos comúnmente, se usa para suprimir un SID que el atacante no quiere que sea evaluado (deshabilitar un SID de grupo de logging que dispara auditoría extra al acceso de archivo). Documentado en toolchains ofensivos en torno a las familias AlwaysInstallElevated y SeImpersonatePrivilege.

Oportunidades de detección

Microsoft-Windows-Security-Auditing event ID 4672 (privilegios especiales asignados) y 4673 (servicio privilegiado invocado) ayudan en el lado privilegios; el lado ajuste de grupos solo está cubierto indirectamente por 4670 (permisos sobre un objeto cambiados). Los EDR que rastrean primitivas de modificación de token exponen una secuencia como (NtOpenProcessToken sobre un proceso más privilegiado → NtDuplicateToken → NtFilterToken → NtAdjustGroupsToken → NtSetInformationThread(ImpersonationToken)) como una cadena de abuso de token. La invariante defensiva útil: los procesos legítimos casi nunca invocan NtAdjustGroupsToken para *habilitar* un SID de alto privilegio previamente deshabilitado; auditores que snapshotean el estado del token al crear el proceso y comparan con el estado runtime pueden marcar el delta. ETW Microsoft-Windows-Kernel-Audit-API-Calls expone el syscall a volumen moderado.

Ejemplos de syscalls directos

; Direct syscall stub for NtAdjustGroupsToken (SSN 0x6C on Win10 2004+/Win11)
NtAdjustGroupsToken PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 6Ch          ; SSN — stable across modern builds
    syscall
    ret
NtAdjustGroupsToken ENDP

// Assumes hTok came from NtDuplicateToken + NtFilterToken (non-deny variant).
// Re-enable SE_GROUP_ENABLED on the Administrators SID in-place.
#include <windows.h>
#include <winternl.h>

static VOID EnableAdminsGroup(HANDLE hTok) {
    SID_IDENTIFIER_AUTHORITY nt = SECURITY_NT_AUTHORITY;
    PSID adminSid = NULL;
    AllocateAndInitializeSid(&nt, 2,
        SECURITY_BUILTIN_DOMAIN_RID, DOMAIN_ALIAS_RID_ADMINS,
        0, 0, 0, 0, 0, 0, &adminSid);

    BYTE buf[sizeof(TOKEN_GROUPS) + sizeof(SID_AND_ATTRIBUTES)];
    TOKEN_GROUPS* tg = (TOKEN_GROUPS*)buf;
    tg->GroupCount = 1;
    tg->Groups[0].Sid = adminSid;
    tg->Groups[0].Attributes = SE_GROUP_ENABLED; // flip the bit

    // Win32 wrapper -> NtAdjustGroupsToken
    AdjustTokenGroups(hTok, FALSE, tg, 0, NULL, NULL);
    FreeSid(adminSid);
}

// Defensive / red-team utility: change group state, do work, restore exactly.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtAdjustGroupsToken)(
    HANDLE, BOOLEAN, PTOKEN_GROUPS, ULONG, PTOKEN_GROUPS, PULONG);

VOID WithToggledGroup(HANDLE hTok, TOKEN_GROUPS* desired) {
    pNtAdjustGroupsToken NtAdjustGroupsToken = (pNtAdjustGroupsToken)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtAdjustGroupsToken");
    BYTE prev[4096]; ULONG ret = 0;
    NtAdjustGroupsToken(hTok, FALSE, desired,
                        sizeof(prev), (PTOKEN_GROUPS)prev, &ret);
    DoWorkWithToggledGroups();
    NtAdjustGroupsToken(hTok, FALSE, (PTOKEN_GROUPS)prev,
                        0, NULL, NULL); // revert exact prior state
}

Mapeos MITRE ATT&CK

• T1134Access Token Manipulationmitre ↗
• T1134.001Token Impersonation/Theftmitre ↗
• T1068Exploitation for Privilege Escalationmitre ↗