NtOpenPartition

Prototipo

NTSTATUS NtOpenPartition(
  PHANDLE            PartitionHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1                  mov r10, rcx
B8 31 01 00 00            mov eax, 0x131
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Notas no documentadas

Contraparte `Open` de `NtCreatePartition`. La resolución es puramente del object-manager: la partición debe ya existir bajo su ruta de namespace (comúnmente `\KernelObjects\…`) y el token llamante debe satisfacer el descriptor de seguridad de la partición para los derechos solicitados. A diferencia de `NtCreatePartition`, abrir una partición para query/inspección no requiere `SeLockMemoryPrivilege` — solo las rutas modify/attach lo hacen. La resolución dinámica del syscall es trivial vía Hell's Gate porque el SSN deriva de forma predecible.

Uso común por malware

Esencialmente nulo abuso directo en malware commodity. Un defensor o investigador podría llamarlo para introspectar particiones de contenedores Hyper-V en un host, y un implante sofisticado podría *teóricamente* usar una partición creada por el usuario preexistente para alojar sus asignaciones y contaminar los contadores de working-set vistos por el EDR del host — pero la ganancia sobre un simple `NtAllocateVirtualMemory` es despreciable frente al coste en privilegios.

Oportunidades de detección

Empareje con la señal de `NtCreatePartition`: abrir una partición nombrada que el operador no creó él mismo es anómalo fuera de vmcompute/vmwp/SystemSettings. El evento 9 (`PartitionOpened`) del provider ETW `Microsoft-Windows-Kernel-Memory` lleva la imagen llamante y el nombre del objeto partición. La mayoría de entornos de producción tendrán aquí una lista blanca vacía.

Ejemplos de syscalls directos

#include <windows.h>
#include <winternl.h>

#define MEMORY_PARTITION_QUERY_ACCESS  0x0001

typedef NTSTATUS (NTAPI* pNtOpenPartition)(
    PHANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES);

HANDLE open_partition(LPCWSTR name) {
    UNICODE_STRING us;
    RtlInitUnicodeString(&us, name);
    OBJECT_ATTRIBUTES oa;
    InitializeObjectAttributes(&oa, &us, OBJ_CASE_INSENSITIVE, NULL, NULL);

    pNtOpenPartition f = (pNtOpenPartition)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtOpenPartition");

    HANDLE h = NULL;
    f(&h, MEMORY_PARTITION_QUERY_ACCESS, &oa);
    return h;
}

NtOpenPartition PROC
    mov  r10, rcx
    mov  eax, 131h
    syscall
    ret
NtOpenPartition ENDP

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗