NtFsControlFile

Prototipo

NTSTATUS NtFsControlFile(
  HANDLE           FileHandle,
  HANDLE           Event,
  PIO_APC_ROUTINE  ApcRoutine,
  PVOID            ApcContext,
  PIO_STATUS_BLOCK IoStatusBlock,
  ULONG            FsControlCode,
  PVOID            InputBuffer,
  ULONG            InputBufferLength,
  PVOID            OutputBuffer,
  ULONG            OutputBufferLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 39 00 00 00      mov eax, 0x39
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Misma forma de 10 argumentos que NtDeviceIoControlFile; el kernel comparte incluso el código de despacho (`IopXxxControlFile` con flag `FsControl`). La diferencia importa semánticamente: un FSCTL se envía a un *driver de sistema de archivos* (NTFS, ReFS, FAT, CDFS) o a un redirector de red (RDBSS, mrxsmb), y muchos FSCTLs requieren **SeManageVolumePrivilege** o **SeRestorePrivilege**. El SSN `0x39` es estable de Win7 a Win11 24H2. El catálogo de códigos FSCTL es grande (≈ 250); el subconjunto ofensivo es pequeño pero de alto impacto: set/get de reparse point, marcado sparse, lectura del journal USN y obtención de bitmap de volumen para dump NTFS crudo.

Uso común por malware

Tres familias ofensivas. (1) **Abuso reparse point / junction (T1564.004 + T1574.x)**: `FSCTL_SET_REPARSE_POINT` escribe un tag de reparse NTFS sobre un directorio, convirtiéndolo en junction o mount point. Exploits de bypass UAC y EoP lo usan para que una carpeta escribible apunte a una SYSTEM (RedirectionGuard mitigó esto en Win11), y los ransomwares lo emplean para redirigir rutas de log a volúmenes ya borrados. (2) **Descubrimiento de ADS (T1564.004)**: `FSCTL_QUERY_FILE_LAYOUT` y `FSCTL_GET_NTFS_FILE_RECORD` exponen cada flujo $DATA de un archivo, permitiendo a los droppers ocultar payloads (scripts PowerShell, XML de tareas, EXEs secundarios) en flujos que `dir` no muestra por defecto. (3) **Extracción NTFS cruda**: `FSCTL_GET_VOLUME_BITMAP` + `FSCTL_GET_RETRIEVAL_POINTERS` (runs de clusters del `$MFT`) es la receta detrás de `RawCopy`, `EXTRACT-DiT` y la mayoría de los dumpers de NTDS.dit — leen runs directamente desde `\\.\PhysicalDriveN`, esquivando el open bloqueado.

Oportunidades de detección

ETW Microsoft-Windows-Ntfs (`{3FF37A1C-A68D-4D6E-8C9B-F79E8B16C482}`) y los proveedores del subsistema Storage emiten eventos para sets de reparse point y tráfico FSCTL. Sysmon Event ID 11 dispara en la creación de archivo al plantar un reparse. Los callbacks minifilter pre sobre `IRP_MJ_FILE_SYSTEM_CONTROL` (FSCTL es su minor) ven cada código con su input buffer — ahí se registran la mayoría de los EDR. Cazas: `FSCTL_SET_REPARSE_POINT` desde procesos no instaladores, `FSCTL_GET_VOLUME_BITMAP` desde binarios de usuario distintos de `chkdsk`/`defrag`/AV, y cualquier proceso que abra `\\.\PhysicalDriveN` seguido de `FSCTL_GET_RETRIEVAL_POINTERS` secuenciales. PowerShell `Get-Item -Force` con enumeración `:Zone.Identifier` expone plantaciones ADS evidentes; `Sysinternals streams.exe` es la herramienta manual. Las protecciones de enlaces simbólicos de Microsoft (`fsutil behavior set SymlinkEvaluation`) mitigan algunas clases de abuso.

Ejemplos de syscalls directos

// REPARSE_DATA_BUFFER for IO_REPARSE_TAG_MOUNT_POINT, redirecting
// C:\Users\victim\Downloads\evil  ->  \??\C:\Windows\System32.
#define IO_REPARSE_TAG_MOUNT_POINT 0xA0000003
#define FSCTL_SET_REPARSE_POINT    0x900A4

typedef struct _REPARSE_MOUNT_POINT {
    ULONG  ReparseTag;          // 0xA0000003
    USHORT ReparseDataLength;
    USHORT Reserved;
    USHORT SubstituteNameOffset;
    USHORT SubstituteNameLength;
    USHORT PrintNameOffset;
    USHORT PrintNameLength;
    WCHAR  PathBuffer[1];
} REPARSE_MOUNT_POINT, *PREPARSE_MOUNT_POINT;

// hDir = handle to empty directory opened with GENERIC_WRITE | DELETE
IO_STATUS_BLOCK iosb = {0};
NTSTATUS s = NtFsControlFile(
    hDir, NULL, NULL, NULL, &iosb,
    FSCTL_SET_REPARSE_POINT,
    rd, REPARSE_DATA_BUFFER_HEADER_SIZE + rd->ReparseDataLength,
    NULL, 0);

; Identical 4-instr stub form; ten parameters from the caller, six on stack.
NtFsControlFile PROC
    mov  r10, rcx
    mov  eax, 39h
    syscall
    ret
NtFsControlFile ENDP

// Cargo: ntapi = "0.4", winapi = { version = "0.3", features = ["ntdef"] }
use ntapi::ntioapi::{NtFsControlFile, IO_STATUS_BLOCK};
use winapi::shared::ntdef::HANDLE;

const FSCTL_GET_REPARSE_POINT: u32 = 0x900A8;

pub unsafe fn read_reparse(h_dir: HANDLE) -> Option<Vec<u8>> {
    let mut buf = vec![0u8; 0x4000];
    let mut iosb: IO_STATUS_BLOCK = core::mem::zeroed();
    let s = NtFsControlFile(
        h_dir, core::ptr::null_mut(),
        None, core::ptr::null_mut(),
        &mut iosb,
        FSCTL_GET_REPARSE_POINT,
        core::ptr::null_mut(), 0,
        buf.as_mut_ptr() as *mut _, buf.len() as u32,
    );
    if s == 0 {
        let n = *iosb.u.Status_mut() as usize;
        buf.truncate(n);
        Some(buf)
    } else { None }
}

Mapeos MITRE ATT&CK

• T1564.004Hide Artifacts: NTFS File Attributesmitre ↗
• T1574.005Hijack Execution Flow: Executable Installer File Permissions Weaknessmitre ↗
• T1003.003OS Credential Dumping: NTDSmitre ↗
• T1106Native APImitre ↗