NtFreeVirtualMemory

Prototipo

NTSTATUS NtFreeVirtualMemory(
  HANDLE  ProcessHandle,
  PVOID  *BaseAddress,
  PSIZE_T RegionSize,
  ULONG   FreeType
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 1E 00 00 00      mov eax, 0x1E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtFreeVirtualMemory mantiene el SSN `0x1E` en todos los builds de Windows 10 / 11 / Server observados. Es la pareja natural de NtAllocateVirtualMemory y despacha vía MmFreeVirtualMemory. MEM_DECOMMIT conserva la reserva VAD pero libera las páginas físicas; MEM_RELEASE destruye toda la reserva (exige RegionSize == 0 y BaseAddress igual a la base original).

Uso común por malware

Se usa al *final* del ciclo de vida del payload en vez de al inicio — borrar el shellcode tras la ejecución para que un escaneo de memoria posterior solo encuentre páginas en cero o no mapeadas. La técnica fue popularizada por contramedidas estilo `Hunt-Sleeping-Beacons`: en lugar de dejar páginas RWX llenas de código de beacon reconocible durante sleeps largos, los loaders modernos asignan, ejecutan y luego NtFreeVirtualMemory la región (o NtProtectVirtualMemory a PAGE_NOACCESS, cifrado y re-protección al despertar). También usado por implementaciones de hollowing para liberar el mapping de la imagen original anclada en el PEB antes de remapear una imagen maliciosa.

Oportunidades de detección

Las llamadas aisladas son muy ruidosas. Patrones interesantes: secuencias cortas MEM_COMMIT|EXECUTE → ejecución → MEM_RELEASE (visibles vía eventos ETW Threat Intelligence Memory en Win10 2004+) y frees sobre regiones cuyo VAD muestra cambios recientes a PAGE_EXECUTE_READWRITE. Un free de la base de imagen original en un proceso cuya imagen de arranque difiere de la imagen en disco es un fuerte indicador de process hollowing.

Ejemplos de syscalls directos

; Direct syscall stub for NtFreeVirtualMemory (SSN 0x1E, all builds)
NtFreeVirtualMemory PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1Eh          ; SSN
    syscall
    ret
NtFreeVirtualMemory ENDP

// Allocate, run, then free — defeats post-mortem memory scans.
PVOID  base = NULL;
SIZE_T size = shellcode_len;
NtAllocateVirtualMemory(NtCurrentProcess(), &base, 0, &size,
                        MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
memcpy(base, shellcode, shellcode_len);

ULONG old;
NtProtectVirtualMemory(NtCurrentProcess(), &base, &size,
                       PAGE_EXECUTE_READ, &old);
((void(*)(void))base)();

// Zero before unmap to defeat free-list residue grabs.
RtlSecureZeroMemory(base, shellcode_len);
SIZE_T zero = 0;
NtFreeVirtualMemory(NtCurrentProcess(), &base, &zero, MEM_RELEASE);

// Cargo: ntapi = "0.4", windows-sys = "0.59"
use ntapi::ntmmapi::NtFreeVirtualMemory;
use windows_sys::Win32::System::Memory::MEM_RELEASE;

pub struct VirtualRegion { base: *mut core::ffi::c_void, len: usize }

impl Drop for VirtualRegion {
    fn drop(&mut self) {
        let mut base = self.base;
        let mut len: usize = 0; // MEM_RELEASE requires 0
        unsafe {
            NtFreeVirtualMemory(-1isize as _, &mut base, &mut len, MEM_RELEASE);
        }
    }
}

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1027.009Obfuscated Files or Information: Embedded Payloadsmitre ↗
• T1106Native APImitre ↗