NtCreateMailslotFile

Prototipo

NTSTATUS NtCreateMailslotFile(
  PHANDLE            FileHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  PIO_STATUS_BLOCK   IoStatusBlock,
  ULONG              CreateOptions,
  ULONG              MailslotQuota,
  ULONG              MaximumMessageSize,
  PLARGE_INTEGER     ReadTimeout
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 B9 00 00 00      mov eax, 0xB9
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Los mailslots son una IPC sin conexión y unidireccional — el *servidor* crea el slot vía NtCreateMailslotFile y lee los datagramas entrantes; los *clientes* simplemente abren `\\<host>\mailslot\<nombre>` con NtOpenFile/NtCreateFile y escriben en él. Anteceden a las named pipes y los implementan mailslot.sys / mrxsmb.sys (la entrega entre hosts viaja por SMB). Los mensajes pueden difundirse a un nombre a nivel de dominio (`\\*\mailslot\foo`), aunque esa ruta está muy restringida en los dominios modernos. Tamaño máximo cross-red: 424 bytes; los mailslots puramente locales pueden ser mucho mayores.

Uso común por malware

Los mailslots son una IPC *OPSEC-favorable* porque casi ninguna stack de seguridad moderna los inspecciona. Cobalt Strike ofreció históricamente un transporte SMB mailslot para entrega beacon-a-beacon — fidelidad menor que las named pipes pero en gran parte invisible para los EDR que hookean NtCreateNamedPipeFile / los name-callbacks de FltMgr para pipes. Uso real nicho hoy: IPC local encubierta entre implantes cooperantes en la misma cadena de movimiento lateral, donde las named pipes atraerían atención inmediata de Sysmon Event 17/18. El uso por familias de malware modernas nombradas públicamente es raro; la asimetría de detección es el atractivo principal.

Oportunidades de detección

La detección es genuinamente escasa. Sysmon no tiene MailslotEvent (Events 17 / 18 cubren sólo named pipes). ETW Microsoft-Windows-Kernel-File emite Create con una ruta `\Device\Mailslot\` — escribir reglas contra ese prefijo en los hooks file-create del EDR. CmRegisterCallbackEx no se aplica (no hay registro); el punto de hook correcto es FltRegisterFilter contra la cadena minifilter del file system de mailslot.sys. Consulta de hunt: cualquier proceso creando un objeto bajo `\Device\Mailslot\` fuera de `lsass.exe` (NETLOGON), `services.exe` o `winlogon.exe` merece investigarse.

Ejemplos de syscalls directos

// Creates \\.\mailslot\implant_chan as a passive receiver.
UNICODE_STRING name;
RtlInitUnicodeString(&name, L"\\??\\mailslot\\implant_chan");

OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

IO_STATUS_BLOCK iosb;
HANDLE hSlot = NULL;

NTSTATUS st = NtCreateMailslotFile(
    &hSlot,
    GENERIC_READ | SYNCHRONIZE,
    &oa,
    &iosb,
    0,        // CreateOptions
    0,        // MailslotQuota — system default
    1024,     // MaximumMessageSize
    NULL      // ReadTimeout — wait forever
);

NtCreateMailslotFile PROC
    mov  r10, rcx
    mov  eax, 0B9h
    syscall
    ret
NtCreateMailslotFile ENDP

// Cargo: windows-sys = "0.59" (Win32_Storage_FileSystem, Win32_Foundation)
use windows_sys::Win32::Storage::FileSystem::*;
let h = unsafe {
    CreateMailslotW(
        w!("\\\\.\\mailslot\\implant_chan"),
        1024,                       // nMaxMessageSize
        MAILSLOT_WAIT_FOREVER,      // lReadTimeout
        null_mut(),                 // lpSecurityAttributes
    )
};
// CreateMailslotW funnels into NtCreateMailslotFile.

Mapeos MITRE ATT&CK

• T1559Inter-Process Communicationmitre ↗
• T1071Application Layer Protocolmitre ↗
• T1106Native APImitre ↗