NtCreateDirectoryObject

Prototipo

NTSTATUS NtCreateDirectoryObject(
  PHANDLE            DirectoryHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 AC 00 00 00      mov eax, 0xAC
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

El SSN deriva lentamente — `0x9B` en 1507 hasta `0xAC` en Win11 24H2 — así que los stubs syscall directos que apunten a NtCreateDirectoryObject en varios builds necesitan resolución dinámica. El object manager del kernel organiza los objetos nombrados en un árbol de `Directory` con raíz en `\` (raíz global). Hijos estándar: `\BaseNamedObjects` (IPC Sesión 0), `\Sessions\<n>\BaseNamedObjects` (IPC por sesión, donde viven la mayoría de events/mutants nombrados usermode), `\??` (directorio de enlaces DOS del proceso actual), `\KnownDlls`, `\Device`, `\Driver`. NtCreateDirectoryObject permite a un llamador (con los accesos correctos) plantar subdirectorios nuevos — solo la raíz global requiere SeCreatePermanentPrivilege para OBJ_PERMANENT.

Uso común por malware

Tres ángulos ofensivos. **Preparación de evasión de sandbox**: muchas sandboxes usermode virtualizan el espacio BNO dando al proceso sandboxeado una raíz privada `\Sessions\<n>\AppContainerNamedObjects\<sid>`; crear un directorio dentro o junto a esa raíz es un paso en las cadenas de fuga de contenedor. **Rendezvous C2 / entre implantes**: varios implantes en la misma sesión crean un subdirectorio compartido bajo `\Sessions\<n>\BaseNamedObjects\<aleatorio>` y lo usan como tablero de descubrimiento para events nombrados y symlinks de puerto ALPC — invisible en disco y para la mayoría de EDR que solo vigilan filesystem y registro. **Fuga vía symlink plantado**: combinar NtCreateDirectoryObject con NtCreateSymbolicLinkObject para superponer un directorio namespace falso con enlaces de redirección (familia CVE-2019-0808, investigación de fuga AppContainer de James Forshaw / Project Zero).

Oportunidades de detección

La creación en el espacio de nombres del object manager no la registra Sysmon. La fuente autoritativa es ObRegisterCallbacks en modo kernel sobre `IoDirectoryObjectType` (`ObGetObjectType(L"Directory")`), o el provider ETW Microsoft-Windows-Kernel-Audit-API-Calls. La señal más fuerte: **un proceso no de sistema y no CSRSS crea un directorio bajo `\Sessions\<n>\BaseNamedObjects` con OBJ_PERMANENT o directamente bajo `\` con OBJ_OPENIF**. WinObj de Sysinternals o `tools\objview` sirven en modo caza; productos defensivos como `ObjectExplorer` de SpecterOps automatizan la misma enumeración. Vigilar también procesos que crean un directorio y luego inmediatamente un symlink dentro — fuerte correlación con abuso de redirección de namespace.

Ejemplos de syscalls directos

; Direct syscall stub for NtCreateDirectoryObject (SSN 0xAC, Win11 24H2)
NtCreateDirectoryObject PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0ACh         ; SSN (BUILD-SPECIFIC, resolve dynamically)
    syscall
    ret
NtCreateDirectoryObject ENDP

// Plant \Sessions\<n>\BaseNamedObjects\Acme to act as a per-session
// inter-implant rendezvous. Named events and ALPC ports go in here.
#include <windows.h>
#include <winternl.h>

#define DIRECTORY_ALL_ACCESS (STANDARD_RIGHTS_REQUIRED | 0xF)
#define OBJ_CASE_INSENSITIVE 0x00000040

typedef NTSTATUS (NTAPI *pNtCreateDirectoryObject)(
    PHANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES);

HANDLE CreateRendezvousDir(PCWSTR fullPath) {
    pNtCreateDirectoryObject NtCreateDirectoryObject = (pNtCreateDirectoryObject)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtCreateDirectoryObject");
    UNICODE_STRING us;
    RtlInitUnicodeString(&us, fullPath);
    OBJECT_ATTRIBUTES oa;
    InitializeObjectAttributes(&oa, &us, OBJ_CASE_INSENSITIVE, NULL, NULL);
    HANDLE hDir = NULL;
    if (NT_SUCCESS(NtCreateDirectoryObject(&hDir, DIRECTORY_ALL_ACCESS, &oa)))
        return hDir;
    return NULL;
}

// Cargo: ntapi = "0.4", widestring = "1"
// Create an overlay directory that we will later populate with a symbolic
// link redirecting \??\X: to a sensitive path. Combined with the symlink call
// this is the standard pattern for namespace-redirection sandbox escape PoCs.
use ntapi::ntobapi::NtCreateDirectoryObject;
use ntapi::ntrtl::RtlInitUnicodeString;
use ntapi::ntobapi::OBJ_CASE_INSENSITIVE;
use winapi::shared::ntdef::{OBJECT_ATTRIBUTES, UNICODE_STRING};
use widestring::U16CString;

pub unsafe fn create_overlay(path: &str) -> Option<isize> {
    let w = U16CString::from_str(path).ok()?;
    let mut us: UNICODE_STRING = std::mem::zeroed();
    RtlInitUnicodeString(&mut us, w.as_ptr());
    let mut oa: OBJECT_ATTRIBUTES = std::mem::zeroed();
    oa.Length = std::mem::size_of::<OBJECT_ATTRIBUTES>() as u32;
    oa.ObjectName = &mut us;
    oa.Attributes = OBJ_CASE_INSENSITIVE;
    let mut h: isize = 0;
    let s = NtCreateDirectoryObject(&mut h as *mut _ as _, 0xF000F, &mut oa);
    if s >= 0 { Some(h) } else { None }
}

Mapeos MITRE ATT&CK

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗