NtExtendSection

Prototipo

NTSTATUS NtExtendSection(
  HANDLE         SectionHandle,
  PLARGE_INTEGER NewSectionSize
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 EB 00 00 00      mov eax, 0xEB      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Extiende el tamaño máximo committable de un objeto sección. Solo las secciones creadas con `SEC_RESERVE` o las respaldadas por pagefile (`SEC_COMMIT` sin handle de fichero) son típicamente extensibles — las secciones imagen (`SEC_IMAGE`) no lo son. El nuevo tamaño no puede exceder el del fichero de backing si la sección era respaldada por fichero sin `SEC_RESERVE`. El kernel redondea el tamaño solicitado al límite de página y lo reescribe vía `NewSectionSize`.

Uso común por malware

Lo usan los loaders de shellcode que construyen el payload por etapas sin commitar el tamaño final desde el principio. El loader crea una pequeña sección pagefile `SEC_RESERVE`, mapea una vista, escribe la primera etapa, luego llama a `NtExtendSection` cuando se conoce el tamaño de la segunda etapa y remapea una vista mayor — evitando una asignación RWX temprana de todo el tamaño final. Aparece también en canales IPC de búfer compartido entre implantes cooperantes que crecen dinámicamente. No es un IOC frecuente por sí solo, pero combinado con secciones pagefile `SEC_COMMIT` y mapping en proceso remoto, forma la espina dorsal de los loaders solo-memoria que nunca tocan disco.

Oportunidades de detección

Sin evento ETW dedicado. La detección combina `NtCreateSection` de una sección pagefile `SEC_RESERVE` seguida de `NtExtendSection` y luego `NtMapViewOfSection(Ex)` con protección `PAGE_EXECUTE_*` en el mismo proceso en poco tiempo. Los EDR que hookean `NtMapViewOfSection` pueden marcar mappings ejecutables de secciones pagefile — combinación prácticamente inexistente en aplicaciones legítimas fuera de motores JIT y algunos servidores de bases de datos.

Ejemplos de syscalls directos

// Initial 4 KiB reserve.
LARGE_INTEGER initialSize; initialSize.QuadPart = 0x1000;
HANDLE hSection;
NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, &initialSize,
                PAGE_EXECUTE_READWRITE, SEC_RESERVE, NULL);

// ... map, write stage 1 ...

// Now grow to 1 MiB to fit stage 2 + relocations.
LARGE_INTEGER newSize; newSize.QuadPart = 0x100000;
NTSTATUS s = NtExtendSection(hSection, &newSize);
// newSize.QuadPart is updated to the actual rounded value.

; NtExtendSection direct stub — SSN 0xEB on Win11 24H2
NtExtendSection PROC
    mov  r10, rcx
    mov  eax, 0EBh
    syscall
    ret
NtExtendSection ENDP

use ntapi::ntmmapi::NtExtendSection;
use winapi::shared::ntdef::{HANDLE, LARGE_INTEGER};
use std::mem;

unsafe fn extend(section: HANDLE, new_bytes: i64) -> i64 {
    let mut li: LARGE_INTEGER = mem::zeroed();
    *li.QuadPart_mut() = new_bytes;
    let s = NtExtendSection(section, &mut li);
    assert!(s >= 0);
    *li.QuadPart()
}

Mapeos MITRE ATT&CK

• T1620Reflective Code Loadingmitre ↗
• T1106Native APImitre ↗