NtCreatePartition

Prototipo

NTSTATUS NtCreatePartition(
  PHANDLE            PartitionHandle,
  HANDLE             ParentPartitionHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  ULONG              PreferredNode
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1                  mov r10, rcx
B8 BD 00 00 00            mov eax, 0xBD
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Notas no documentadas

Introducido en Windows 10 Redstone 2 (1703) como parte del subsistema de particiones de memoria construido originalmente para el aislamiento de memoria del game-mode y los contenedores Hyper-V. Una partición posee sus propias page lists, páginas disponibles, hilo modified-page-writer y standby cache; los procesos asociados (`ProcessInformationClass = ProcessAttachToMemoryPartition`) sacan su memoria física exclusivamente de ella. El wrapper estándar `CreatePartition` vive en `api-ms-win-core-memorypartition-l1` (stub kernel32), pero el uso mayoritario es interno — Hyper-V, el runtime de contenedores Windows y `SystemSettings` para la reserva de Game Mode lo consumen. Requiere `SeLockMemoryPrivilege` más la ACL `MEMORY_PARTITION_ALL_ACCESS` sobre el padre.

Uso común por malware

Señal ofensiva muy baja. El requisito de privilegio (`SeLockMemoryPrivilege`) bloquea casi todo uso interesante, y la complejidad operacional de mover procesos entre particiones no aporta a malware mucho más de lo que un simple section-mapping ofrece. El único uso de nivel investigación genuino es el **aislamiento de canal lateral en sandboxes de telemetría red-team** — particionar el working-set de un sensor para que las fugas de timing por presión de pagefile desde la víctima ya no correlacionen con las mediciones del sensor. Ninguna familia de malware commodity pública está documentada usándolo.

Oportunidades de detección

Las llamadas a `NtCreatePartition` desde cualquier cosa fuera de `lsass.exe` (brevemente durante boot), `vmcompute.exe`, `vmwp.exe`, `SystemSettings.exe` y unos pocos servicios dedicados a game-mode son intrínsecamente sospechosas. El provider `Microsoft-Windows-Kernel-Memory` emite el evento 8 (`PartitionCreated`) con la ruta de imagen llamante. Auditar ajustes de `SeLockMemoryPrivilege` en tokens no-servicio es la señal aguas arriba más barata — el privilegio es requerido y rara vez se ostenta legítimamente por código user-mode.

Ejemplos de syscalls directos

// Requires SeLockMemoryPrivilege and a writable SD on the parent.
#include <windows.h>
#include <winternl.h>

#define MEMORY_PARTITION_ALL_ACCESS 0x000F0003

typedef NTSTATUS (NTAPI* pNtCreatePartition)(
    PHANDLE, HANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES, ULONG);

void make_partition(void) {
    UNICODE_STRING name;
    RtlInitUnicodeString(&name, L"\\KernelObjects\\Sandbox1");
    OBJECT_ATTRIBUTES oa;
    InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

    pNtCreatePartition f = (pNtCreatePartition)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtCreatePartition");

    HANDLE h = NULL;
    NTSTATUS st = f(&h, NULL /* parent = system */,
                    MEMORY_PARTITION_ALL_ACCESS, &oa,
                    0xFFFFFFFF /* any NUMA node */);
}

NtCreatePartition PROC
    mov  r10, rcx
    mov  eax, 0BDh
    syscall
    ret
NtCreatePartition ENDP

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗