NtResetWriteWatch

Prototipo

NTSTATUS NtResetWriteWatch(
  HANDLE  ProcessHandle,
  PVOID   BaseAddress,
  SIZE_T  RegionSize
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1                  mov r10, rcx
B8 88 01 00 00            mov eax, 0x188
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Notas no documentadas

NtResetWriteWatch es el complemento de reset autónomo de NtGetWriteWatch. La mayoría de llamantes prefieren la forma atómica `NtGetWriteWatch(WRITE_WATCH_FLAG_RESET, ...)` porque elimina la ventana de carrera entre consulta y reset. El syscall separado es útil cuando el llamante quiere descartar la información dirty por completo (p. ej. tras una pasada completa de re-encriptado) sin pagar la copia del arreglo de NtGetWriteWatch. La implementación del kernel recorre los mismos bits dirty a nivel de PTE que limpia `MiResetWriteWatch`.

Uso común por malware

Usado por implantes con sleep-mask que realizan un re-encriptado completo de memoria al inicio o tras una actualización de configuración — al implante no le importa qué páginas estaban sucias, las está cifrando todas, pero aun así necesita reiniciar el estado de seguimiento para que la *siguiente* pasada incremental vea solo las páginas realmente sucias de la próxima ventana despierta. Menos usado de forma aislada que NtGetWriteWatch ya que existe el flag atómico de reset, pero aparece en algunos sleep-masks de primera generación (pre-Ekko) que desacoplaban las dos fases. El análisis forense de un snapshot de implante pausado a veces captura la llamada de reset a mitad de ciclo cuando los bits dirty están momentáneamente limpios.

Oportunidades de detección

Misma señal de kernel que NtGetWriteWatch — el flag `VadWriteWatch` del VAD es prerrequisito para que cualquiera de los dos syscall haga algo significativo. NtResetWriteWatch sin un NtGetWriteWatch previo (o pendiente) sobre el mismo rango es inusual fuera de la ruta de reset de inicio de ciclo del GC .NET. Los EDR con capacidad de recorrer VADs pueden marcar cualquier proceso user-mode que mantenga una región MEM_WRITE_WATCH considerable con protección PAGE_EXECUTE_READ o PAGE_EXECUTE_READWRITE — esa combinación esencialmente nunca se ve en software benigno y es un sello de los sleep-masks conscientes de páginas sucias.

Ejemplos de syscalls directos

// After a full memory rescan / full re-encrypt, drop the dirty bits without
// the cost of copying out the dirty-page array.
#include <windows.h>

void reset_tracking(PVOID region, SIZE_T size) {
    // ResetWriteWatch is the documented Win32 wrapper around NtResetWriteWatch.
    if (ResetWriteWatch(region, size) != 0) {
        // Region was not allocated with MEM_WRITE_WATCH.
    }
}

NtResetWriteWatch PROC
    mov  r10, rcx
    mov  eax, 188h
    syscall
    ret
NtResetWriteWatch ENDP

// Phase 1: encrypt every page (full pass), then reset the watch state.
// Phase 2 (next cycle): NtGetWriteWatch reports only newly dirtied pages.
void full_encrypt_and_reset(PVOID region, SIZE_T size) {
    encrypt_full(region, size);
    ResetWriteWatch(region, size);   // ntdll!NtResetWriteWatch under the hood
}

Mapeos MITRE ATT&CK

• T1027.011Fileless Storagemitre ↗
• T1106Native APImitre ↗