NtCreateProcessEx

Prototipo

NTSTATUS NtCreateProcessEx(
  PHANDLE            ProcessHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  HANDLE             ParentProcess,
  ULONG              Flags,
  HANDLE             SectionHandle,
  HANDLE             DebugPort,
  HANDLE             ExceptionPort,
  ULONG              JobMemberLevel
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 4D 00 00 00      mov eax, 0x4D
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtCreateProcessEx es el punto de entrada de bajo nivel para crear procesos. A diferencia de NtCreateUserProcess (que ahora usa CreateProcessW), NtCreateProcessEx exige que el llamador haya creado previamente una sección SEC_IMAGE desde el ejecutable objetivo vía NtCreateSection(SEC_IMAGE) y la adjunte. Crucialmente, el proceso resultante no tiene hilo inicial — el llamador debe invocar después NtCreateThreadEx (o NtCreateThread). Esta separación convierte a NtCreateProcessEx en la pieza canónica del *process hollowing* y de la familia *Early Bird APC*: crear un proceso, encolarle trabajo antes de que ejecute su primera instrucción. La SSN `0x4D` es estable en todas las builds soportadas.

Uso común por malware

Usada por cadenas de process hollowing que quieren evitar la telemetría de CreateProcessW, por herramientas de PPID-spoofing (poner ParentProcess en explorer.exe u otro PID de confianza), y por variantes Early Bird que combinan NtCreateProcessEx + NtCreateThreadEx(suspendido) + NtQueueApcThreadEx. Las funciones spawnto/spoof-parent de Cobalt Strike acaban en este camino de código. Menos común como primitiva ofensiva de alto nivel hoy porque NtCreateUserProcess ofrece un control de atributos más rico en un solo syscall.

Oportunidades de detección

ETW Microsoft-Windows-Kernel-Process emite eventos ProcessStart desde PspInsertProcess sin importar el punto de entrada de userland; el kernel no distingue entre NtCreateProcessEx y NtCreateUserProcess en ese callback. Sysmon Event ID 1 se dispara en cualquier caso y expone el PID padre real incluso cuando CreateProcessW habría mentido. Los hooks de userland sobre kernelbase!CreateProcessW pierden a los llamadores por syscalls directos; los hooks deben sentarse sobre ntdll!NtCreateUserProcess *y* ntdll!NtCreateProcessEx. Indicador sospechoso: una sección SEC_IMAGE sobre un PE sin firmar seguida en milisegundos por NtCreateProcessEx y NtCreateThreadEx en estado suspendido.

Ejemplos de syscalls directos

; Direct syscall stub for NtCreateProcessEx (SSN 0x4D, stable on Win10 1507+ through Win11 24H2)
NtCreateProcessEx PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 4Dh          ; SSN
    syscall
    ret
NtCreateProcessEx ENDP

// Open the target PE and wrap it in a SEC_IMAGE section, then spawn a process backed by it.
HANDLE hFile = NULL;
IO_STATUS_BLOCK iosb = { 0 };
OBJECT_ATTRIBUTES oa = { 0 };
UNICODE_STRING path;
RtlInitUnicodeString(&path, L"\\??\\C:\\Windows\\System32\\notepad.exe");
InitializeObjectAttributes(&oa, &path, OBJ_CASE_INSENSITIVE, NULL, NULL);
NtOpenFile(&hFile, FILE_EXECUTE | SYNCHRONIZE, &oa, &iosb,
           FILE_SHARE_READ, FILE_SYNCHRONOUS_IO_NONALERT);

HANDLE hSection = NULL;
NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, NULL,
                PAGE_READONLY, SEC_IMAGE, hFile);

HANDLE hProcess = NULL;
NtCreateProcessEx(&hProcess,
                  PROCESS_ALL_ACCESS,
                  NULL,
                  NtCurrentProcess(),     // ParentProcess — set elsewhere for PPID spoof
                  0,                       // Flags
                  hSection,                // SectionHandle
                  NULL,                    // DebugPort
                  NULL,                    // ExceptionPort
                  0);                      // JobMemberLevel
// New process has NO threads yet — caller must NtCreateThreadEx into it.

// Cargo: windows-sys = "0.59"
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_create_process_ex_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x4D",
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1055.012Process Hollowingmitre ↗
• T1134.004Parent PID Spoofingmitre ↗
• T1106Native APImitre ↗