NtFlushInstructionCache

Prototipo

NTSTATUS NtFlushInstructionCache(
  HANDLE  ProcessHandle,
  PVOID   BaseAddress,
  SIZE_T  Length
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 F1 00 00 00      mov eax, 0xF1      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

En x86/x64, las reglas arquitectónicas ya serializan el fetch de instrucciones frente a las escrituras de datos tras un `cpuid`/`iret`/salto en el mismo procesador lógico, por lo que el syscall es básicamente no-op para un self-flush en el core actual — su trabajo real es difundir un IPI a cada procesador que ejecuta el proceso objetivo para que invalide sus líneas de L1 I-cache. En ARM64 (donde las reglas son más débiles), emite la secuencia `ic ivau` / `dsb ish` / `isb` que la arquitectura exige tras cualquier modificación de código. El wrapper Win32 fino es `FlushInstructionCache`, llamado incondicionalmente por `JIT_GenericResolverCommon` en CLR, por `CodeRange::CommitPages` de V8, por Chakra y por todo loader reflectivo que se precie.

Uso común por malware

Paso obligatorio en **todo** loader reflectivo de shellcode o PE que escribe bytes ejecutables en tiempo de ejecución. La secuencia clásica: `NtAllocateVirtualMemory(MEM_COMMIT, PAGE_READWRITE)` → memcpy payload → `NtProtectVirtualMemory(PAGE_EXECUTE_READ)` → `NtFlushInstructionCache`. Omitir el flush es la razón nº1 por la que los loaders nuevos crashean en ARM64 Windows pero funcionan en x64 — e incluso en x64, omitirlo produce crashes intermitentes difíciles de reproducir cuando un hilo SMT hermano toca la página objetivo. ScareCrow, stagers generados por Donut, la inyección reflectiva de DLL clásica de Stephen Fewer, MemoryModule y virtualmente todo user-defined reflective loader de Cobalt Strike lo llaman. Los loaders direct-syscall que resuelven el SSN dinámicamente (Hell's Gate / Halo's Gate / Tartarus' Gate) suelen codificar este en duro porque es muy barato.

Oportunidades de detección

Por llamada, casi sin señal en software legítimo porque los JIT lo invocan constantemente. La telemetría interesante es la *combinación*: un proceso que no tiene runtime gestionado (CLR, V8, JVM, Chakra) ni host de contenido de navegador/Electron y que invoca `NtFlushInstructionCache` sobre una región recientemente `PAGE_EXECUTE_READWRITE` o sin `MEMORY_BASIC_INFORMATION::AllocationBase` mapeado a una imagen en disco es un IOC manual de loader reflectivo. ETW `Microsoft-Windows-Threat-Intelligence` (Defender ETW-TI) emite un evento estilo `VirtualProtect` para la transición de protección que precede *inmediatamente* al flush en casi todos los loaders — emparejar ambos.

Ejemplos de syscalls directos

// Final step of a reflective PE loader.
// pImageBase points at freshly relocated bytes; size is the SizeOfImage.

// 1) Flip the .text section to PAGE_EXECUTE_READ.
ULONG oldProt;
NtProtectVirtualMemory(NtCurrentProcess(),
    (PVOID*)&pTextBase, &textSize,
    PAGE_EXECUTE_READ, &oldProt);

// 2) Invalidate the I-cache across every core that runs us.
NtFlushInstructionCache(NtCurrentProcess(), pTextBase, textSize);

// 3) Safe to call the DLL's entry point.
DllMain_t entry = (DllMain_t)((BYTE*)pImageBase + nt->OptionalHeader.AddressOfEntryPoint);
entry((HMODULE)pImageBase, DLL_PROCESS_ATTACH, NULL);

; NtFlushInstructionCache direct stub — SSN 0xF1 on Win11 24H2
NtFlushInstructionCache PROC
    mov  r10, rcx
    mov  eax, 0F1h
    syscall
    ret
NtFlushInstructionCache ENDP

use ntapi::ntmmapi::NtFlushInstructionCache;
use winapi::shared::ntdef::HANDLE;

unsafe fn flush_self(addr: *mut u8, len: usize) {
    let s = NtFlushInstructionCache(
        -1isize as HANDLE, // NtCurrentProcess()
        addr as _,
        len,
    );
    assert!(s >= 0);
}

Mapeos MITRE ATT&CK

• T1620Reflective Code Loadingmitre ↗
• T1055.001Dynamic-link Library Injectionmitre ↗
• T1106Native APImitre ↗