NtReadVirtualMemory

Prototipo

NTSTATUS NtReadVirtualMemory(
  HANDLE  ProcessHandle,
  PVOID   BaseAddress,
  PVOID   Buffer,
  SIZE_T  NumberOfBytesToRead,
  PSIZE_T NumberOfBytesRead
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 3F 00 00 00      mov eax, 0x3F
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Contraparte de `NtWriteVirtualMemory`, también implementada por `MmCopyVirtualMemory` pero con los roles fuente/destino invertidos. La SSN `0x3F` ha permanecido estable en todos los builds Win10/11 lanzados. Las lecturas parciales (página fuente no mapeada o `PAGE_NOACCESS`) devuelven `STATUS_PARTIAL_COPY` y actualizan `NumberOfBytesRead`. El kernel respeta `PROCESS_VM_READ` pero no eludirá la protección de páginas — las guard pages provocan una excepción que se propaga como `STATUS_GUARD_PAGE_VIOLATION`.

Uso común por malware

Primitiva principal de lectura tras el robo de credenciales LSASS. Mimikatz, pypykatz, lsassy, nanodump y el BOF `mimikatz` de Cobalt Strike leen la memoria de LSASS bien vía `ReadProcessMemory` (que envuelve este syscall) bien emitiendo el syscall directamente para evadir hooks de ntdll. La usan también los infostealers (RedLine, Vidar, Stealc) para extraer secretos de procesos de navegador, y herramientas de evasión EDR para diferenciar la ntdll en memoria contra la del disco y localizar los inline hooks que deben quitarse.

Oportunidades de detección

La telemetría definitiva es Sysmon Event ID 10 (`ProcessAccess`) con `GrantedAccess` conteniendo `PROCESS_VM_READ` (0x0010), especialmente cuando el objetivo es `lsass.exe` — las máscaras conocidas `0x1010`/`0x1410`/`0x1438`. La regla ASR de Windows Defender `9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2` bloquea el volcado de credenciales LSASS interceptando aperturas con VM_READ. Los syscalls directos no eluden la telemetría del kernel registrada por los EDR vía `PsSetCreateProcessNotifyRoutineEx` u `ObRegisterCallbacks` sobre aperturas de proceso — la lectura puede ser invisible, pero el `NtOpenProcess` previo rara vez lo es.

Ejemplos de syscalls directos

; Direct syscall stub for NtReadVirtualMemory (SSN 0x3F, stable across all Win10/11)
NtReadVirtualMemory PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 3Fh          ; SSN
    syscall
    ret
NtReadVirtualMemory ENDP

// Read the .text of ntdll from a clean disk copy and compare to the in-memory ntdll
// to locate inline hooks installed by EDRs. The remote read uses NtCurrentProcess()
// because the comparison is against our own image.
SIZE_T read = 0;
NTSTATUS st = NtReadVirtualMemory(NtCurrentProcess(),
                                  (PVOID)inmem_text_rva,
                                  current_text_copy,
                                  text_size, &read);
if (NT_SUCCESS(st)) diff_and_restore(disk_text_copy, current_text_copy, text_size);

// Open LSASS with PROCESS_VM_READ + PROCESS_QUERY_INFORMATION, then stream pages
// out via NtReadVirtualMemory into an in-memory MiniDump structure (nanodump style).
for (PVOID p = region_base; p < region_end; p = (PBYTE)p + 0x1000) {
    SIZE_T got = 0;
    if (NT_SUCCESS(NtReadVirtualMemory(hLsass, p, page_buf, 0x1000, &got))) {
        write_minidump_page(p, page_buf, got);
    }
}

Mapeos MITRE ATT&CK

• T1003.001OS Credential Dumping: LSASS Memorymitre ↗
• T1057Process Discoverymitre ↗
• T1106Native APImitre ↗