NtCompareTokens

Prototipo

NTSTATUS NtCompareTokens(
  HANDLE   FirstTokenHandle,
  HANDLE   SecondTokenHandle,
  PBOOLEAN Equal
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 A1 00 00 00      mov eax, 0xA1
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Compara la decisión de acceso *efectiva* de dos tokens, no la identidad bruta. La rutina kernel SepCompareTokens recorre los arrays User SID, Groups, RestrictedSids y Privileges y devuelve Equal=TRUE solo si cada conjunto coincide elemento por elemento. La MandatoryPolicy, el nivel de integridad y el nivel de impersonación *no* forman parte de la comparación — dos tokens en niveles de integridad distintos pueden, por tanto, compararse iguales. Microsoft documenta la API sobre todo para software de seguridad que necesita saber si dos tokens de impersonación son intercambiables (p. ej. si un handle de recurso en caché sigue siendo válido). Es de los syscalls de token con menor tráfico — una estación típica emite unos pocos por minuto, mayormente desde svchost.exe y lsass.exe.

Uso común por malware

Raro en uso ofensivo; casi siempre se ve en software defensivo. Los navegadores (Edge, Chrome) lo invocan vía `CompareObjectHandles` para verificar que el token de un renderer sandbox sigue coincidiendo con el que el broker emitió, defendiéndose de ataques de token-swap durante el IPC. Los hosts AppContainer lo usan para validar la continuidad del token hijo. Los pocos usos maliciosos son de reconocimiento: un implante duplica varios tokens capturados y los compara para detectar duplicados o deduplicar candidatos de impersonación antes de intentar `SetThreadToken`. Sin receta ofensiva canónica.

Oportunidades de detección

Más una *no-detección* — los llamantes legítimos (lsass.exe, MsMpEng.exe, RuntimeBroker.exe, msedge.exe) dominan. Un proceso no sistema invocando `NtCompareTokens` sobre dos tokens recién obtenidos por `NtOpenProcessToken` contra procesos no relacionados es señal débil de reconocimiento de credenciales, mejor emparejada con telemetría de `NtDuplicateToken` y `NtImpersonateAnonymousToken`. No hay evento ETW Threat-Intelligence dedicado; confíe en hooks EDR de `ntdll!NtCompareTokens` filtrados por `actor_image NOT IN (navegadores/AV/runtime brokers)`.

Ejemplos de syscalls directos

// Pattern used by AppContainer hosts: a broker reopens the renderer's token
// and confirms it still matches the one it issued, defending against an attacker
// who swapped the renderer's primary token via cross-process injection.
typedef NTSTATUS(NTAPI* fnNtCompareTokens)(HANDLE, HANDLE, PBOOLEAN);

BOOL TokenStillMine(HANDLE issued, HANDLE currentRendererToken) {
    HMODULE n = GetModuleHandleA("ntdll.dll");
    fnNtCompareTokens p = (fnNtCompareTokens)GetProcAddress(n, "NtCompareTokens");
    BOOLEAN eq = FALSE;
    return p(issued, currentRendererToken, &eq) == 0 && eq;
}

; SSN 0xA1 on win11-24h2 / winserver-2025.
NtCompareTokens PROC
    mov  r10, rcx
    mov  eax, 0A1h
    syscall
    ret
NtCompareTokens ENDP

// Implant collected N tokens via NtOpenProcessToken. Before bothering to
// SetThreadToken into each, drop duplicates that grant the same access.
use windows_sys::Win32::System::LibraryLoader::{GetModuleHandleA, GetProcAddress};

type NtCompareTokens = unsafe extern "system" fn(a: isize, b: isize, eq: *mut u8) -> i32;

pub unsafe fn dedup_tokens(mut tokens: Vec<isize>) -> Vec<isize> {
    let n = GetModuleHandleA(b"ntdll.dll\0".as_ptr());
    let addr = GetProcAddress(n, b"NtCompareTokens\0".as_ptr()).unwrap();
    let f: NtCompareTokens = std::mem::transmute(addr);
    let mut out: Vec<isize> = Vec::new();
    for t in tokens.drain(..) {
        let mut is_dup = false;
        for &kept in &out {
            let mut eq: u8 = 0;
            if f(t, kept, &mut eq) == 0 && eq != 0 { is_dup = true; break; }
        }
        if !is_dup { out.push(t); }
    }
    out
}

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗