NtFilterToken

Prototipo

NTSTATUS NtFilterToken(
  HANDLE          ExistingTokenHandle,
  ULONG           Flags,
  PTOKEN_GROUPS   SidsToDisable,
  PTOKEN_PRIVILEGES PrivilegesToDelete,
  PTOKEN_GROUPS   RestrictedSids,
  PHANDLE         NewTokenHandle
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 ED 00 00 00      mov eax, 0xED
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtFilterToken es la implementación de kernel detrás de advapi32!CreateRestrictedToken. A partir de un token origen devuelve un nuevo token primario o de impersonación con ciertos SIDs marcados como deny-only, ciertos privilegios eliminados y opcionales *restricted SIDs* adjuntos. Los restricted SIDs son potentes: en cada chequeo de acceso el kernel hace AND entre el acceso concedido y lo que la lista de restricted SIDs por sí sola habría concedido, así que el token resultante puede quedar muy por debajo de los derechos normales del usuario. La SSN cambia casi en cada actualización mayor (`0xD5` en Win10 1507, `0xED` en Win11 24H2), por lo que la resolución dinámica es obligatoria.

Uso común por malware

Usada legítimamente por los sandboxes de Chromium / Edge / Acrobat y por los brokers de AppContainer. El uso ofensivo existe pero es más raro: un atacante con un token de alto privilegio (SYSTEM, o un usuario impersonado con SeDebugPrivilege) puede *degradar* deliberadamente un proceso hijo o un contexto de impersonación para parecerse a un usuario poco privilegiado — una forma de token demotion que evade detecciones basadas en "SYSTEM hizo X". Algunos frameworks de red team y un puñado de muestras de investigación envuelven NtFilterToken precisamente por eso. *No* es una señal ofensiva fuerte por sí sola.

Oportunidades de detección

La cobertura de eventos de token es el punto de partida correcto: los eventos 4696/4624 de Microsoft-Windows-Security-Auditing exponen cambios de token de logon, y ETW Microsoft-Windows-Kernel-Audit-API-Calls cubre la creación de tokens. Los EDR suelen hookear NtFilterToken para alimentar sus grafos de derivación de tokens. Señal blue-team útil: NtFilterToken invocada *con* un token origen de alto privilegio *desde* un proceso inusual (ni navegador, ni broker). Combinar con NtCreateUserProcess + AssignPrimaryToken posteriores para detectar una token demotion deliberada antes de la ejecución del proceso hijo.

Ejemplos de syscalls directos

; Direct syscall stub for NtFilterToken (SSN 0xED on Win11 24H2 / Server 2025)
NtFilterToken PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0EDh         ; SSN for win11-24h2
    syscall
    ret
NtFilterToken ENDP

// Take the current process token and produce a filtered copy with SeDebugPrivilege
// and SeImpersonatePrivilege removed — useful for spawning a less-suspicious child.
HANDLE hCurrent = NULL;
NtOpenProcessToken(NtCurrentProcess(), TOKEN_DUPLICATE | TOKEN_QUERY, &hCurrent);

LUID seDebug, seImpersonate;
LookupPrivilegeValueW(NULL, L"SeDebugPrivilege", &seDebug);
LookupPrivilegeValueW(NULL, L"SeImpersonatePrivilege", &seImpersonate);

struct {
    DWORD            Count;
    LUID_AND_ATTRIBUTES Priv[2];
} toDelete = { 2, {{seDebug, 0}, {seImpersonate, 0}} };

HANDLE hFiltered = NULL;
NtFilterToken(hCurrent,
              DISABLE_MAX_PRIVILEGE,   // also strip every non-mandatory privilege
              NULL,                    // SidsToDisable
              (PTOKEN_PRIVILEGES)&toDelete,
              NULL,                    // RestrictedSids
              &hFiltered);

// Cargo: windows-sys = "0.59"  (Win32_Security)
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_filter_token_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0xED",     // Win11 24H2; resolve dynamically for other builds
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1134Access Token Manipulationmitre ↗
• T1134.002Create Process with Tokenmitre ↗
• T1106Native APImitre ↗