NtPrivilegeObjectAuditAlarm

Prototipo

NTSTATUS NtPrivilegeObjectAuditAlarm(
  PUNICODE_STRING SubsystemName,
  PVOID           HandleId,
  HANDLE          ClientToken,
  ACCESS_MASK     DesiredAccess,
  PPRIVILEGE_SET  Privileges,
  BOOLEAN         AccessGranted
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 43 01 00 00      mov eax, 0x143
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Genera el evento de Seguridad 4674 ("Se intentó una operación sobre un objeto privilegiado") siempre que se comprueba una operación privilegiada contra un *objeto* (no una acción de servicio — para eso ver NtPrivilegedServiceAuditAlarm). El ejemplo clásico es invocar APIs de backup que ejercen SeBackupPrivilege fichero a fichero: cada apertura privilegiada emite un 4674. El llamante es responsable de invocar el syscall — el uso de privilegios no se audita automáticamente por el Object Manager, así que un subsistema privilegiado que quiera fidelidad de log debe llamarlo explícitamente. Sysmon Event ID 4673/4674 (con reglas correspondientes) reproduce los mismos datos con contexto de proceso adicional.

Uso común por malware

Casi nulo. El malware que usa privilegios típicamente lo hace en silencio — llamar a NtPrivilegeObjectAuditAlarm generaría justamente la entrada que intenta evitar. Los únicos llamantes legítimos son subsistemas MS que *quieren* fidelidad de auditoría (LSASS, ntdsa.dll, el servicio Backup, sensores de Defender for Identity). Cualquier llamante fuera de ese pequeño conjunto es sospechoso ante todo por ser inusual.

Oportunidades de detección

El volumen en una estación normal es casi nulo salvo durante jobs de backup. La ausencia repentina de eventos 4674 esperados durante una operación privilegiada conocida (p. ej. shadow copy programado) es señal más fuerte que la presencia — indica deterioro del subsistema de Eventos (T1562.002). Para detección positiva, focalizar en 4674 con privilegio == SeDebugPrivilege, SeTcbPrivilege o SeLoadDriverPrivilege emitidos por una imagen no firmada o por una imagen inusual con esos privilegios.

Ejemplos de syscalls directos

; Direct syscall stub for NtPrivilegeObjectAuditAlarm (SSN 0x143, Win11 24H2)
NtPrivilegeObjectAuditAlarm PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 143h         ; SSN
    syscall
    ret
NtPrivilegeObjectAuditAlarm ENDP

// A backup service holding SeBackupPrivilege walks the volume and, for each
// file it opens via FILE_FLAG_BACKUP_SEMANTICS, explicitly emits a 4674
// so the Security log records *which* files were touched with the privilege.

LUID seBackupLuid;
LookupPrivilegeValueW(NULL, SE_BACKUP_NAME, &seBackupLuid);

struct {
    PRIVILEGE_SET ps;
    LUID_AND_ATTRIBUTES extra; // tail for >1 privilege
} pset = {
    .ps = { .PrivilegeCount = 1, .Control = PRIVILEGE_SET_ALL_NECESSARY,
            .Privilege = {{ .Luid = seBackupLuid, .Attributes = SE_PRIVILEGE_USED_FOR_ACCESS }} }
};
UNICODE_STRING sub = RTL_CONSTANT_STRING(L"Security");

NtPrivilegeObjectAuditAlarm(
    &sub,
    (PVOID)hFile,           // handle id
    hClientToken,
    FILE_GENERIC_READ,
    &pset.ps,
    TRUE);                  // access granted

// The Win32 wrappers are PrivilegeCheck (decision) +
// ObjectPrivilegeAuditAlarmW (audit emission).
use windows_sys::Win32::Security::Authorization::ObjectPrivilegeAuditAlarmW;
use windows_sys::Win32::Security::*;

unsafe {
    let ok = ObjectPrivilegeAuditAlarmW(
        windows_sys::w!("Security"),
        handle_id as *mut _,
        client_token,
        desired_access,
        &priv_set as *const _ as *mut _,
        1, // access_granted
    );
    // ok != 0 -> the 4674 was emitted (assuming "Audit Privilege Use"
    // policy is enabled).
}

Mapeos MITRE ATT&CK

• T1562.002Impair Defenses: Disable Windows Event Loggingmitre ↗
• T1134Access Token Manipulationmitre ↗