NtSetCachedSigningLevel

Prototipo

NTSTATUS NtSetCachedSigningLevel(
  ULONG              Flags,
  SE_SIGNING_LEVEL   InputSigningLevel,
  PHANDLE            SourceFiles,
  ULONG              SourceFileCount,
  HANDLE             TargetFile
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 98 01 00 00      mov eax, 0x198
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Parte de la infraestructura **Code Integrity (CI)** introducida con Windows 10. CI mantiene un veredicto de firma cacheado vía EA en cada archivo ejecutable para que las cargas de imagen posteriores eviten el costoso recorrido del hash Authenticode. El cache vive en el atributo extendido NTFS `$Kernel.Purge.ESBCache` (el EA está oculto — `fsutil file queryea` no lo muestra por defecto; CI usa un FSCTL privado). `NtSetCachedSigningLevel` es el *escritor* — pide a CI (módulo CI de `ci.dll` en ntoskrnl) que compute o acepte un nivel de firma y lo estampe en el EA. El compañero `NtGetCachedSigningLevel` es el *lector*. Los niveles privilegiados (8 Antimalware, 12 Microsoft, 14 Windows) requieren `SeTcbPrivilege` *y* que el propio proceso llamante corra a un nivel CI igual o superior — así que un proceso user-mode normal no puede simplemente estampar `SE_SIGNING_LEVEL_WINDOWS`. La llamada se volvió atractiva para investigadores porque *parte* de su validación de parámetros vive en la política CI, no en `Nt*` mismo, y bugs históricos de resolución de política se han usado para forzar a CI a aceptar archivos no firmados.

Uso común por malware

No es un syscall de malware commodity, sino un **vector de investigación recurrente para escapes de sandbox y bypasses de CIG (Code Integrity Guard)**. James Forshaw (Project Zero) documentó múltiples rutas donde `NtSetCachedSigningLevel` podía forzarse a estampar una DLL controlada por el atacante con una entrada de cache nivel `Microsoft` — suficiente para colar la DLL en un proceso protegido con `ProcessSignaturePolicy = MicrosoftSignedOnly`. Los PoCs de escape de sandbox Edge/Chrome (era CVE-2020-0938 y secuelas) lo usaron para cargar código del atacante en el broker del navegador tras RCE en el renderer. Las clases de bugs Print Spooler / `Win32k` que cruzan con App Container también tocan esta ruta. **El malware real básicamente nunca llama esto** — el abuso aparece en código red-team / research, **PPLFault** (Gabriel Landau, 2022), y bypasses de Process-Mitigation-Policy. Si ves un proceso no firmado por Microsoft llamando `NtSetCachedSigningLevel(SE_SIGNING_LEVEL_WINDOWS)` estás viendo explotación, no comportamiento normal.

Oportunidades de detección

El provider ETW `Microsoft-Windows-CodeIntegrity` (GUID `{4ee76bd8-3cf4-44a0-a0ac-3937643e37a3}`) emite los eventos 3023 / 3033 en escrituras de cache, incluyendo el nivel de firma solicitado y la ruta de imagen del proceso llamante. CI también loguea al canal Application & Services / `CodeIntegrity-Operational` — eventos 3033 (archivo bloqueado) y 3089 (info firma) referencian lookups de cache. La señal más fuerte es: cualquier proceso cuya propia imagen no esté firmada a `SE_SIGNING_LEVEL_MICROSOFT` o superior llamando `NtSetCachedSigningLevel` en absoluto, y particularmente con `InputSigningLevel >= 8`. La regla ASR `Block credential stealing from the Windows local security authority subsystem` de Defender pesca indirectamente algunas rutas de abuso porque el paso post-explotación normalmente inyecta en un proceso protegido.

Ejemplos de syscalls directos

; Direct syscall stub for NtSetCachedSigningLevel (SSN 0x198 on Win11 24H2 / Server 2025)
NtSetCachedSigningLevel PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 198h         ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtSetCachedSigningLevel ENDP

// Forshaw-style CI cache stamping. Requires the calling process to already
// run at SE_SIGNING_LEVEL_MICROSOFT or above — the abuse vector is *getting
// that level* via a policy resolution bug, not this call itself.
#define SE_SIGNING_LEVEL_UNCHECKED   0
#define SE_SIGNING_LEVEL_AUTHENTICODE 4
#define SE_SIGNING_LEVEL_STORE       6
#define SE_SIGNING_LEVEL_ANTIMALWARE 8
#define SE_SIGNING_LEVEL_MICROSOFT   12
#define SE_SIGNING_LEVEL_WINDOWS     14

HANDLE hFile = /* opened with FILE_READ_DATA | FILE_WRITE_EA */;
NTSTATUS st = NtSetCachedSigningLevel(
    /* Flags */              0x4,           // force recompute
    /* InputSigningLevel */  SE_SIGNING_LEVEL_MICROSOFT,
    /* SourceFiles */        NULL,
    /* SourceFileCount */    0,
    /* TargetFile */         hFile);

// Verify the cache stamp succeeded by reading it back.
ULONG  flags = 0, level = 0, thumbAlg = 0, thumbSize = 32;
BYTE   thumb[32];
LARGE_INTEGER lastBlackList = { 0 }, lastTimeStamp = { 0 };
NTSTATUS st = NtGetCachedSigningLevel(
    hFile, &flags, (PSE_SIGNING_LEVEL)&level,
    thumb, &thumbSize, &thumbAlg,
    &lastBlackList, &lastTimeStamp);
// level should now equal what NtSetCachedSigningLevel stamped, e.g. 12 (Microsoft).

Mapeos MITRE ATT&CK

• T1553Subvert Trust Controlsmitre ↗
• T1574Hijack Execution Flowmitre ↗
• T1106Native APImitre ↗