NtCommitTransaction

Prototipo

NTSTATUS NtCommitTransaction(
  HANDLE  TransactionHandle,
  BOOLEAN Wait
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 9D 00 00 00      mov eax, 0x9D      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Dirige el protocolo de commit en dos fases en cada Resource Manager enlistado en la transacción (típicamente solo TxF). Con `Wait = TRUE`, la llamada solo retorna cuando el log CLFS ha vaciado el registro de commit — en ese punto los cambios son consistentes ante caídas. Con `Wait = FALSE`, el retorno es `STATUS_PENDING` y el llamador puede esperar sobre el handle de la transacción.

Uso común por malware

En el **Transacted Hollowing** (primo del Doppelgänging documentado por Hasherezade y enSilo), `NtCommitTransaction` sustituye a `NtRollbackTransaction` al final de la cadena: los bytes maliciosos se *conservan* en disco bajo un nombre inocuo y luego se inyectan vía process hollowing en un objetivo legítimo. La técnica también la usan algunos droppers para intercambiar atómicamente una cadena de ficheros (DLL + INI + XML de tarea programada) de modo que un escáner EDR no pueda capturar un estado intermedio inconsistente. Para el Doppelgänging estricto de enSilo el commit *no* se llama — pero los defensores deben tratar igualmente como sospechoso cualquier commit de un ejecutable recién escrito, sobre todo si el escritor no es el proceso instalador estándar.

Oportunidades de detección

El evento ETW `Microsoft-Windows-Kernel-File` ID 30 lleva `TransactionToken` y `FileObject`; correlacionar el commit con los `NtWriteFile` previos sobre la misma transacción permite reconstruir los bytes confirmados. Los EDR que mantienen un shadow buffer por transacción pueden hashear el payload en el momento del commit y reenviarlo a un servicio de reputación. Sysmon Event 11 (FileCreate) se dispara al *primer* write del fichero transaccional, no en el commit; la detección del commit pasa por la vía ETW.

Ejemplos de syscalls directos

// Transacted Hollowing variant: commit, then hollow.
NTSTATUS s = NtCommitTransaction(hTransaction, /*Wait=*/ TRUE);
if (!NT_SUCCESS(s)) return s;

// Section now backed by committed payload on disk.
HANDLE hSection;
NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, 0,
                PAGE_READONLY, SEC_IMAGE, hTransactedFile);

// Map the section into a suspended target and patch entry point.
CreateProcessW(L"C:\\Windows\\System32\\svchost.exe", NULL, NULL, NULL,
               FALSE, CREATE_SUSPENDED, NULL, NULL, &si, &pi);
NtUnmapViewOfSection(pi.hProcess, baseAddr);
NtMapViewOfSection(hSection, pi.hProcess, &newBase, 0, 0, NULL,
                   &viewSize, ViewShare, 0, PAGE_EXECUTE_READ);
ResumeThread(pi.hThread);

; NtCommitTransaction direct stub — SSN 0x9D on Win11 24H2
NtCommitTransaction PROC
    mov  r10, rcx
    mov  eax, 9Dh
    syscall
    ret
NtCommitTransaction ENDP

use ntapi::ntxcapi::NtCommitTransaction;
use winapi::shared::ntdef::{HANDLE, TRUE as NT_TRUE};

unsafe fn commit(tx: HANDLE) {
    let status = NtCommitTransaction(tx, NT_TRUE as _);
    assert!(status >= 0, "commit failed: 0x{:X}", status);
}

Mapeos MITRE ATT&CK

• T1055.013Process Doppelgängingmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1106Native APImitre ↗