NtCreateSection

Prototipo

NTSTATUS NtCreateSection(
  PHANDLE            SectionHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  PLARGE_INTEGER     MaximumSize,
  ULONG              SectionPageProtection,
  ULONG              AllocationAttributes,
  HANDLE             FileHandle
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 4A 00 00 00      mov eax, 0x4A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Crea un objeto `_SECTION` — la primitiva del kernel detrás de cada mapeo de archivo, cada imagen cargada y cada región de memoria compartida en Windows. La SSN `0x4A` ha sido estable en todos los builds Win10/11. `SEC_IMAGE` es el flag más poderoso: el kernel parsea FileHandle como un PE (valida cabeceras, aplica relocaciones, configura subsecciones por `IMAGE_SECTION_HEADER`) y la vista resultante *es* un módulo cargado desde la perspectiva del kernel — aparecerá en las estructuras equivalentes a `PsLoadedModuleList` y producirá eventos `Image Load`. Las secciones anónimas (`FileHandle = NULL`) respaldadas por pagefile son simplemente RAM compartida.

Uso común por malware

El paso de configuración para cada técnica de inyección por sección. Las secciones anónimas + `PAGE_EXECUTE_READWRITE` alimentan Process Doppelgänging, Transacted Hollowing, Atom Bombing y la inyección `MapViewOfSection` original. Las secciones `SEC_IMAGE` abiertas sobre una DLL firmada limpia alimentan loaders de module stomping y envenenamiento `KnownDlls`. Process Ghosting (creado por Gabriel Landau) crea un archivo delete-pending, construye una sección `SEC_IMAGE` sobre él y luego elimina el archivo antes de que la sección se desmapee — dejando en memoria una imagen ejecutable sin artefacto en disco que el AV pueda escanear.

Oportunidades de detección

`NtCreateSection` por sí solo es demasiado común (cada `LoadLibrary` y `CreateFileMapping` lo invoca) para alertar directamente. Las señales vienen aguas abajo: ETW Threat Intelligence emite eventos cuando una sección se mapea ejecutable en un proceso remoto; PE-Sieve y Moneta marcan regiones `MappedImage` cuyo archivo de respaldo ha sido eliminado o reemplazado; drivers minifilter observan `IRP_MJ_CREATE` con `FILE_DELETE_ON_CLOSE` seguido de creación de sección como patrón Process Ghosting. Las secciones creadas con `SEC_IMAGE` sobre archivos no-Microsoft en objetivos PPL son extremadamente sospechosas. También nótese que `SEC_NO_CHANGE` + `SEC_IMAGE` a veces se usa para hacer una región resistente a modificaciones `NtProtectVirtualMemory` posteriores al mapeo.

Ejemplos de syscalls directos

; Direct syscall stub for NtCreateSection (SSN 0x4A, stable across all Win10/11)
NtCreateSection PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 4Ah          ; SSN
    syscall
    ret
NtCreateSection ENDP

// Pagefile-backed RWX section, used as the carrier for cross-process shellcode.
HANDLE        hSection = NULL;
LARGE_INTEGER size     = { .QuadPart = 0x10000 };
NTSTATUS st = NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, &size,
                              PAGE_EXECUTE_READWRITE, SEC_COMMIT, NULL);
if (!NT_SUCCESS(st)) return st;
// hSection can now be mapped RW locally and RX remotely (see NtMapViewOfSection).

// Resolve SSN at runtime so the indirect-syscall trampoline doesn't need a build switch.
typedef NTSTATUS (NTAPI *pNtCreateSection)(PHANDLE, ACCESS_MASK,
                                           POBJECT_ATTRIBUTES, PLARGE_INTEGER,
                                           ULONG, ULONG, HANDLE);

DWORD ssn = GetSyscallNumber(GetProcAddress(GetModuleHandleA("ntdll.dll"),
                                            "NtCreateSection"));
set_ssn(ssn);
indirect_syscall_invoke(/* &hSection, ... */);

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1055.013Process Doppelgängingmitre ↗
• T1620Reflective Code Loadingmitre ↗