NtRollbackTransaction

Prototipo

NTSTATUS NtRollbackTransaction(
  HANDLE  TransactionHandle,
  BOOLEAN Wait
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 8F 01 00 00      mov eax, 0x18F     ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Aborta la transacción a nivel KTM. Cada cambio NTFS realizado dentro de la transacción se revierte a su estado previo mediante el replay del log de undo de CLFS. Crucialmente, **las secciones ya creadas a partir de un fichero transaccional siguen siendo válidas** — el kernel no invalida los mappings `SectionObject->ControlArea->FilePointer` por el mero hecho de revertir el fichero subyacente. Este desacoplamiento es la base completa de Process Doppelgänging.

Uso común por malware

El movimiento final del **Process Doppelgänging** canónico (T1055.013). Tras escribir el payload malicioso en un fichero transaccional *y* crear una sección desde él, el rollback descarta la evidencia en disco. El fichero en disco desaparece o vuelve a su contenido pre-transacción (a menudo una copia limpia de un binario firmado por Microsoft), mientras que la sección en memoria — todavía respaldada por los bytes maliciosos — se usa para lanzar un proceso. Desde la perspectiva de creación de proceso del kernel, el image file name sigue apuntando al fichero limpio revertido: esto derrota a los AV basados en hash que escanean el binario en disco y a la mayoría de los lookups producto-imagen por firma. SynAck (2018), variantes Osiris/Kronos y el PoC original de enSilo cierran todos la cadena con esta llamada.

Oportunidades de detección

ETW `Microsoft-Windows-Kernel-File` expone los eventos de rollback; correlacionarlos con creaciones de sección sobre el mismo `FileObject` es el hunting de Doppelgänging de mayor fidelidad. Microsoft Defender for Endpoint añadió una detección de comportamiento del patrón create-write-section-rollback tras 2018. Vectores de detección independientes: comparar el hash de `PEB->ProcessParameters->ImagePathName` con el fichero en disco en el momento de creación del proceso; marcar cualquier discrepancia. Los callbacks kernel-mode `PsSetCreateProcessNotifyRoutineEx` reciben `CREATE_PROCESS_NOTIFY_INFO->FileObject`, que aún apunta al fichero transaccional (ya revertido) — el `FileObject->SectionObjectPointer->ImageSectionObject` puede estar ya desligado, lo cual es en sí anómalo.

Ejemplos de syscalls directos

// Final step of Process Doppelgänging — section is already created.
// After this call, the on-disk file is restored, but hSection still maps payload.

NTSTATUS s = NtRollbackTransaction(hTransaction, /*Wait=*/ TRUE);
if (!NT_SUCCESS(s)) return s;

NtClose(hTransactedFile);
NtClose(hTransaction);

// Spawn process from the orphaned section.
HANDLE hProcess = NULL;
NtCreateProcessEx(
    &hProcess,
    PROCESS_ALL_ACCESS,
    NULL,
    NtCurrentProcess(),
    PROCESS_CREATE_FLAGS_INHERIT_HANDLES,
    hSection,
    NULL, NULL, FALSE);

; NtRollbackTransaction direct stub — SSN 0x18F on Win11 24H2
NtRollbackTransaction PROC
    mov  r10, rcx
    mov  eax, 18Fh
    syscall
    ret
NtRollbackTransaction ENDP

use ntapi::ntxcapi::NtRollbackTransaction;
use winapi::shared::ntdef::HANDLE;

unsafe fn rollback(tx: HANDLE) {
    let status = NtRollbackTransaction(tx, 1 /* TRUE */);
    assert!(status >= 0, "rollback failed: 0x{:X}", status);
}

Mapeos MITRE ATT&CK

• T1055.013Process Doppelgängingmitre ↗
• T1027Obfuscated Files or Informationmitre ↗
• T1106Native APImitre ↗