NtOpenProcess

Prototipo

NTSTATUS NtOpenProcess(
  PHANDLE            ProcessHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  PCLIENT_ID         ClientId
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 26 00 00 00      mov eax, 0x26
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

La apertura por PID es la vía que toma casi todo código userland — `ObjectName` suele ser NULL y `ClientId.UniqueProcess` lleva el PID objetivo. La SSN `0x26` ha sido estable en cada build Win10/11 lanzada. El `OpenProcess` Win32 es un wrapper delgado que rellena `OBJECT_ATTRIBUTES` y `CLIENT_ID` antes de invocar esta función. El acceso lo filtran el SecurityDescriptor del objetivo y cualquier object callback registrado; los procesos PPL/PP (`lsass.exe` con Credential Guard, MsMpEng.exe) rechazan todo salvo `PROCESS_QUERY_LIMITED_INFORMATION` independientemente del privilegio.

Uso común por malware

El primer paso de casi todo ataque entre procesos: obtener un handle con los derechos necesarios para lo que sigue. `PROCESS_VM_READ` para volcar LSASS, `PROCESS_VM_WRITE | PROCESS_VM_OPERATION | PROCESS_CREATE_THREAD` para inyección clásica, `PROCESS_DUP_HANDLE` para robo de token. El instrumental moderno abre con la máscara mínima necesaria (`0x1010` para acceso de solo lectura a LSASS) en lugar de `PROCESS_ALL_ACCESS` (`0x1FFFFF`) para eludir reglas EDR que se fijan en la máscara completa.

Oportunidades de detección

Sysmon Event ID 10 (`ProcessAccess`) es la telemetría canónica — cada `NtOpenProcess` que produce un handle a otro proceso dispara este evento con `SourceProcessGUID`, `TargetProcessGUID`, `GrantedAccess` y una pila de llamadas. Los defensores filtran las máscaras cortas ruidosas y alertan sobre combinaciones peligrosas dirigidas a `lsass.exe`, `MsMpEng.exe`, navegadores, etc. Del lado del kernel, `ObRegisterCallbacks` permite a los drivers (y EDR) que protegen PPL eliminar derechos o vetar la apertura antes de devolver el handle — el mecanismo detrás de la protección PPL de LSASS. Los syscalls directos no eluden los object callbacks.

Ejemplos de syscalls directos

; Direct syscall stub for NtOpenProcess (SSN 0x26, stable across all Win10/11)
NtOpenProcess PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 26h          ; SSN
    syscall
    ret
NtOpenProcess ENDP

// Minimal-rights LSASS open used by nanodump and lsassy to evade GrantedAccess rules.
OBJECT_ATTRIBUTES oa;
CLIENT_ID         cid = { (HANDLE)(ULONG_PTR)lsass_pid, NULL };
InitializeObjectAttributes(&oa, NULL, 0, NULL, NULL);

HANDLE hLsass = NULL;
// PROCESS_QUERY_INFORMATION | PROCESS_VM_READ == 0x1010
NTSTATUS st = NtOpenProcess(&hLsass, 0x1010, &oa, &cid);
if (!NT_SUCCESS(st)) return st;

// Resolve SSN at runtime; useful when ntdll.dll is hooked.
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_open_process_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x26",   // stable across all Win10/11 builds
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1057Process Discoverymitre ↗
• T1003.001OS Credential Dumping: LSASS Memorymitre ↗
• T1055Process Injectionmitre ↗
• T1134Access Token Manipulationmitre ↗