NtQueryInformationProcess

Prototipo

NTSTATUS NtQueryInformationProcess(
  HANDLE           ProcessHandle,
  PROCESSINFOCLASS ProcessInformationClass,
  PVOID            ProcessInformation,
  ULONG            ProcessInformationLength,
  PULONG           ReturnLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 19 00 00 00      mov eax, 0x19
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtQueryInformationProcess es uno de los syscalls más sobrecargados de Windows: más de 100 valores PROCESSINFOCLASS están definidos en builds modernos, desde inocuos (ProcessTimes=4, ProcessHandleCount=20) hasta profundamente relevantes para la seguridad (ProcessDebugPort=7, ProcessDebugObjectHandle=30, ProcessDebugFlags=31, ProcessMitigationPolicy=52, ProcessProtectionInformation=61, ProcessImageFileName=27). El SSN en sí es inquebrantable en 0x19 desde Windows 10 1507 — Microsoft ha mantenido cuidadosamente este slot porque mucho código in-tree y de terceros lo llama. El espacio de números de clases, en cambio, cambia con frecuencia; valores añadidos en 24H2 no están presentes en 1809 y devolverán STATUS_INVALID_INFO_CLASS en kernels más antiguos.

Uso común por malware

La primitiva anti-debug más llamada en Windows. ProcessDebugPort (7) devuelve un handle no nulo cuando hay un depurador en modo usuario adjunto — usado por los reemplazos basados en NTDLL de IsDebuggerPresent y la mayoría de protectores comerciales (VMProtect, Themida, Enigma). ProcessDebugObjectHandle (30) devuelve directamente el DebugObject — necesario porque los analistas experimentados ponen a NULL el DebugPort legacy. ProcessDebugFlags (31) devuelve la inversa de NoDebugInherit; leer 0 significa que un depurador ha estado adjunto en algún momento. Combinado: un patrón de tres NtQueryInformationProcess seguidos con clases 7, 30, 31 sobre NtCurrentProcess() es una huella anti-debug casi segura. Los loaders también usan ProcessBasicInformation (0) para obtener el PEB y recorrer módulos cargados sin tocar el evidente LdrEnumerateLoadedModules; ProcessImageFileName (27) se usa para comprobaciones de nombres de sandbox/emulador.

Oportunidades de detección

El volumen es enorme — este syscall se dispara constantemente en operación normal, así que los conteos brutos son inútiles. La diferenciación viene de (a) la clase usada, (b) el handle objetivo (propio vs. remoto), y (c) la secuencia de llamadas. ETW Microsoft-Windows-Kernel-Audit-API-Calls *no* expone la clase — necesita un shim de modo usuario (hook inline en ntdll, provider ETW por clase) o un callback de kernel. Regla práctica: cualquier proceso que llame a clases 7, 30, 31 en sucesión cercana contra sí mismo está haciendo anti-debug. Los EDR que se preocupan por esto suelen instrumentar el dispatch vía instrumentation callbacks (PsSetLoadImageNotifyRoutine + NtSetInformationProcess(ProcessInstrumentationCallback)) o vía hooks TI-ETW estilo EtwTiLogReadWriteVm sobre operaciones adyacentes.

Ejemplos de syscalls directos

// The canonical anti-debug fingerprint: classes 7, 30, 31 against self.
HANDLE hProc = NtCurrentProcess();
DWORD_PTR debugPort = 0;
HANDLE    debugObj  = NULL;
ULONG     debugFlags = 0;
ULONG ret;

NtQueryInformationProcess(hProc, ProcessDebugPort,         &debugPort, sizeof(debugPort), &ret);
NtQueryInformationProcess(hProc, ProcessDebugObjectHandle, &debugObj,  sizeof(debugObj),  &ret);
NtQueryInformationProcess(hProc, ProcessDebugFlags,        &debugFlags, sizeof(debugFlags), &ret);

if (debugPort != 0 || debugObj != NULL || debugFlags == 0) {
    // Debugger present (or has been). Bail.
    NtTerminateProcess(hProc, 0);
}

PROCESS_BASIC_INFORMATION pbi = { 0 };
ULONG ret;
NtQueryInformationProcess(NtCurrentProcess(),
                          ProcessBasicInformation,
                          &pbi, sizeof(pbi), &ret);
PPEB peb = pbi.PebBaseAddress;
// Now walk peb->Ldr->InMemoryOrderModuleList to enumerate modules
// without calling LdrEnumerateLoadedModules / EnumProcessModules.

; SSN 0x19 — stable Win10 1507 .. Win11 24H2.
NtQueryInformationProcess PROC
    mov  r10, rcx
    mov  eax, 19h
    syscall
    ret
NtQueryInformationProcess ENDP

Mapeos MITRE ATT&CK

• T1622Debugger Evasionmitre ↗
• T1057Process Discoverymitre ↗
• T1106Native APImitre ↗