NtManagePartition

Prototipo

NTSTATUS NtManagePartition(
  HANDLE                       TargetHandle,
  HANDLE                       SourceHandle,
  PARTITION_INFORMATION_CLASS  PartitionInformationClass,
  PVOID                        PartitionInformation,
  ULONG                        PartitionInformationLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1                  mov r10, rcx
B8 1B 01 00 00            mov eax, 0x11B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Notas no documentadas

La navaja suiza hermana de `NtCreatePartition` y `NtOpenPartition`. El selector `PARTITION_INFORMATION_CLASS` lo decide todo: `0` (PageInformation) devuelve contadores vivos comparables a `MEMORYSTATUSEX` pero limitados a la partición; `3` (AddMemory) entrega un rango de memoria física del padre al objetivo; `4` (MoveMemory) re-asigna páginas ya adjuntas entre dos particiones y es la única clase que usa tanto `TargetHandle` como `SourceHandle`; `9` (EmptyCompressionStore) vacía el almacén de páginas comprimidas de la partición a memoria paginable o pagefile. Todas las clases de modificación requieren `SeLockMemoryPrivilege` (además de `MEMORY_PARTITION_MODIFY_ACCESS` en el handle).

Uso común por malware

Señal de malware commodity muy débil. El ángulo de investigación interesante es `EmptyCompressionStore`: forzar a una partición padre a vaciar sus páginas respaldadas por MemCompression puede usarse como un canal lateral grueso de timing de caché contra un proceso co-residente, y hay trabajo académico demostrándolo. Nada de eso ha migrado a ransomware o stealers in-the-wild. La mayoría de defensores pueden tratar con seguridad a cualquier llamante no-Microsoft de `NtManagePartition` como merecedor de inspección detenida.

Oportunidades de detección

Empareje Sysmon Event ID 1 (creación de proceso) con ETW de kernel: el provider `Microsoft-Windows-Kernel-Memory` emite eventos granulares para operaciones de modificación de partición incluyendo la clase de información. Busque cualquier imagen fuera de `vmcompute.exe`, `vmwp.exe`, `vmms.exe` y los pocos servicios de game-mode llamando `NtManagePartition` con clase de información `3`, `4`, `5`, `6` o `9`. Las llamadas query-only de clase `0` también surgen de `taskmgr.exe` / `procexp.exe` y no son interesantes por sí solas.

Ejemplos de syscalls directos

#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI* pNtManagePartition)(
    HANDLE, HANDLE, ULONG /*info class*/, PVOID, ULONG);

typedef struct _MEMORY_PARTITION_PAGE_INFORMATION {
    SIZE_T TotalCommittedPages;
    SIZE_T TotalCommitLimit;
    SIZE_T CurrentCommittedPages;
    SIZE_T PageCombinesAttempted;
    SIZE_T PageCombinesSucceeded;
} MEMORY_PARTITION_PAGE_INFORMATION;

void query_partition_pages(HANDLE hPart) {
    MEMORY_PARTITION_PAGE_INFORMATION info = { 0 };
    pNtManagePartition f = (pNtManagePartition)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtManagePartition");
    f(hPart, NULL, 0 /* SystemMemoryPartitionPageInformation */,
      &info, sizeof(info));
}

NtManagePartition PROC
    mov  r10, rcx
    mov  eax, 11Bh
    syscall
    ret
NtManagePartition ENDP

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗