NtCreateProfile

Prototipo

NTSTATUS NtCreateProfile(
  PHANDLE        ProfileHandle,
  HANDLE         Process,
  PVOID          ProfileBase,
  SIZE_T         ProfileSize,
  ULONG          BucketSize,
  PULONG         Buffer,
  ULONG          BufferSize,
  KPROFILE_SOURCE ProfileSource,
  KAFFINITY      Affinity
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1                  mov r10, rcx
B8 C2 00 00 00            mov eax, 0xC2
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Notas no documentadas

NtCreateProfile, junto con NtStartProfile / NtStopProfile / NtSetIntervalProfile / NtQueryIntervalProfile, gobierna el profiler de muestreo clásico del kernel — el mismo backend que potenciaba KernRate hace décadas y que hoy todavía usan algunos escenarios de PerfView y WPR. El profiler se engancha al temporizador de alta resolución (o a una fuente PMU hardware en CPUs compatibles) y en cada tick incrementa el bucket del histograma correspondiente al RIP interrumpido, siempre que RIP caiga dentro de [ProfileBase, ProfileBase + ProfileSize). El puntero Buffer lo proporciona el user-mode pero el kernel escribe en él directamente desde el contexto ISR, por lo que el búfer debe permanecer residente (en la práctica el llamante debería VirtualLock-arlo). Requiere SeSystemProfilePrivilege para el profiling de todo el sistema.

Uso común por malware

Señal ofensiva genuinamente débil. Los abusos históricos son estrechos: (1) trabajo académico de canal lateral que usó profilers de muestreo para hacer fingerprinting del comportamiento del planificador del kernel e inferir secretos de hilos víctima en núcleos compartidos; (2) PoC de ataque de timing de nicho que abusaban de `ProfileTotalIssues` para contar instrucciones retiradas en rutas de código ajenas. Ninguno se ha traducido en malware de consumo real — el requisito de SeSystemProfilePrivilege y la huella inusual del syscall hacen que el esfuerzo no compense comparado con QueryPerformanceCounter para timing o el acceso a PMU-MSR para canales laterales finos. Territorio mayoritariamente defensivo.

Oportunidades de detección

Uso de fondo muy bajo en malware user-mode. Un proceso no-sistema llamando a NtCreateProfile, especialmente con `Process == NULL` (system-wide) y `ProfileSource != ProfileTime`, esencialmente nunca es benigno. Audite las concesiones de `SeSystemProfilePrivilege` igual que auditaría SeDebugPrivilege. El objeto profile en sí es visible bajo `\KernelObjects` y los handles de profile nombrados pueden enumerarse vía NtQueryObject. La cobertura EDR es pobre — es uno de los raros syscalls nativos que casi nada hookea porque casi nada lo llama.

Ejemplos de syscalls directos

// Minimal NtCreateProfile + NtStartProfile sequence — defensive perf use.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *PNTCREATEPROFILE)(PHANDLE, HANDLE, PVOID, SIZE_T, ULONG,
                                           PULONG, ULONG, ULONG, ULONG_PTR);
typedef NTSTATUS (NTAPI *PNTSTARTPROFILE)(HANDLE);

void profile_self(PVOID base, SIZE_T size) {
    ULONG bucketShift = 2;                 // 4-byte buckets
    ULONG entries     = (ULONG)(size >> bucketShift);
    ULONG *buf        = (ULONG*)VirtualAlloc(NULL, entries * sizeof(ULONG),
                                             MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
    VirtualLock(buf, entries * sizeof(ULONG));

    HMODULE nt = GetModuleHandleA("ntdll.dll");
    PNTCREATEPROFILE pNtCreateProfile = (PNTCREATEPROFILE)GetProcAddress(nt, "NtCreateProfile");
    PNTSTARTPROFILE  pNtStartProfile  = (PNTSTARTPROFILE) GetProcAddress(nt, "NtStartProfile");

    HANDLE hProf = NULL;
    pNtCreateProfile(&hProf, GetCurrentProcess(), base, size, bucketShift,
                     buf, entries * sizeof(ULONG), 0 /* ProfileTime */, 0);
    pNtStartProfile(hProf);
}

NtCreateProfile PROC
    mov  r10, rcx
    mov  eax, 0C2h
    syscall
    ret
NtCreateProfile ENDP

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗