NtOpenTransaction

Prototipo

NTSTATUS NtOpenTransaction(
  PHANDLE            TransactionHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  LPGUID             Uow,
  HANDLE             TmHandle
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 3B 01 00 00      mov eax, 0x13B     ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Contraparte de `NtCreateTransaction`. La transacción puede abrirse por nombre (si el creador la colocó en `\BaseNamedObjects` u otro directorio) o por GUID UoW — cada transacción KTM tiene un GUID de unidad de trabajo globalmente único registrado en el Transaction Manager. Una vez abierto, el handle permite enlistar otros resource managers, consultar el estado vía `NtQueryInformationTransaction` o hacer commit/rollback si se solicitó el acceso correspondiente.

Uso común por malware

Menos central que `NtCreateTransaction` para Process Doppelgänging, pero útil en cadenas multietapa donde un componente crea la transacción (p. ej. un loader en contexto de servicio) y otra etapa la abre por GUID UoW para ejecutar el rollback tras crear la sección en otro proceso. Aparece también en variantes inter-proceso de Doppelgänging donde el dropper pasa el GUID UoW a un hijo vía IPC, el hijo reabre la transacción y solo entonces dispara el rollback — esto reparte la secuencia sospechosa entre dos PID y derrota detecciones simples per-process.

Oportunidades de detección

Misma superficie de telemetría que `NtCreateTransaction` — proveedores ETW `Microsoft-Windows-Kernel-File` y `Microsoft-Windows-TxF`. Vigilar especialmente procesos no relacionados que abren el *mismo* GUID UoW en una ventana corta: las aplicaciones transaccionales legítimas (SQL Server, journaling NTFS) casi nunca reparten la secuencia create-open-rollback entre PID no relacionados. Listar `\BaseNamedObjects` con WinObj revela transacciones con nombre, pero la mayoría de las creadas por atacantes son anónimas y se apoyan en GUID UoW.

Ejemplos de syscalls directos

// Open an existing transaction by its unit-of-work GUID.
GUID uow = { /* received via IPC from the creator */ };
HANDLE hTx = NULL;
OBJECT_ATTRIBUTES oa = { sizeof(oa) };

NTSTATUS s = NtOpenTransaction(
    &hTx,
    TRANSACTION_COMMIT | TRANSACTION_ROLLBACK,
    &oa,
    &uow,
    NULL);

if (NT_SUCCESS(s)) {
    // Take ownership of the transaction — commit or rollback as needed.
    NtRollbackTransaction(hTx, TRUE);
    NtClose(hTx);
}

; NtOpenTransaction direct stub — SSN 0x13B on Win11 24H2
NtOpenTransaction PROC
    mov  r10, rcx
    mov  eax, 13Bh
    syscall
    ret
NtOpenTransaction ENDP

use ntapi::ntxcapi::NtOpenTransaction;
use winapi::shared::guiddef::GUID;
use winapi::shared::ntdef::{HANDLE, OBJECT_ATTRIBUTES};
use std::{mem, ptr::null_mut};

unsafe fn open_by_uow(mut uow: GUID) -> HANDLE {
    let mut h: HANDLE = null_mut();
    let mut oa: OBJECT_ATTRIBUTES = mem::zeroed();
    oa.Length = mem::size_of::<OBJECT_ATTRIBUTES>() as u32;
    let s = NtOpenTransaction(&mut h, 0x0008 | 0x0010, &mut oa, &mut uow, null_mut());
    assert!(s >= 0);
    h
}

Mapeos MITRE ATT&CK

• T1055.013Process Doppelgängingmitre ↗
• T1106Native APImitre ↗