NtSetEaFile

Prototipo

NTSTATUS NtSetEaFile(
  HANDLE                  FileHandle,
  PIO_STATUS_BLOCK        IoStatusBlock,
  PFILE_FULL_EA_INFORMATION Buffer,
  ULONG                   Length
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 A0 01 00 00      mov eax, 0x1A0     ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Los atributos extendidos NTFS son un vestigio de OS/2 HPFS conservado en NTFS: una lista de blobs `nombre=valor` (máx. ~64 KB en total) adosada a cualquier archivo, *separada* tanto del flujo de datos principal como de los Alternate Data Streams. Son direccionables vía `FileFullEaInformation` en `SetFileInformationByHandle`, pero `NtSetEaFile` es la ruta directa. Cada registro es un `FILE_FULL_EA_INFORMATION` (NextEntryOffset, Flags, EaNameLength, EaValueLength, EaName[], valor). Los EA sobreviven a las copias entre volúmenes NTFS pero son eliminados silenciosamente por FAT32/exFAT, la mayoría de archivadores y casi cualquier agente de sincronización en la nube — exactamente por eso resultan interesantes para los atacantes.

Uso común por malware

Almacenamiento sigiloso. Los implantes depositan configuración, fragmentos de payload cifrado o shellcode preparado dentro del EA de un archivo inocuo (a menudo una DLL del sistema o un archivo de datos benigno en `%ProgramData%`) donde `dir`, el Explorador y la mayoría de los escáneres AV de archivos nunca miran. BlackEnergy v2/v3 almacenó su payload de driver en EAs; la variante temprana de Stuxnet abusó de EAs para ocultar componentes. La ruta de parseo de EA en win32k también fue la clase de bug detrás de varias familias LPE (CVE-2022-21882 y la familia más amplia xxxClientAllocCacheableObject). En el lado ofensivo, los EAs son también un canal lateral cómodo para TOCTOU entre dos procesos maliciosos.

Oportunidades de detección

Los EAs son invisibles para las herramientas por defecto. Búsquelos explícitamente: `fsutil file queryEA <ruta>`, Sysinternals `Streams` (sólo ADS — NO cubre EAs), `EAExtractor`, o herramientas forenses NTFS que analicen los atributos MFT `$EA` y `$EA_INFORMATION`. ETW Microsoft-Windows-Kernel-File proporciona eventos FileSetEa. Indicadores sospechosos: registros EA en archivos `.exe`/`.dll` en `system32`, blobs EA mayores de unos cientos de bytes, nombres EA que no encajan en los patrones heredados de Cygwin/WSL o HPFS. Los EDR que sólo hookean la capa Win32 (SetFileInformationByHandle) perderán las llamadas directas a `NtSetEaFile`.

Ejemplos de syscalls directos

// Write a 'config.bin' EA onto an existing file. Visible only via fsutil queryEA.
HANDLE h = CreateFileW(L"C:\\ProgramData\\update.dat", FILE_WRITE_EA, 0, NULL,
                       OPEN_EXISTING, 0, NULL);

const char* eaName  = "CONFIG.BIN"; // ASCII, will be uppercased by NTFS
UCHAR eaNameLen     = (UCHAR)strlen(eaName);
USHORT eaValueLen   = (USHORT)payloadLen; // <= 0xFFFF per record

ULONG bufSize = sizeof(FILE_FULL_EA_INFORMATION) + eaNameLen + 1 + eaValueLen;
bufSize = (bufSize + 3) & ~3u;            // 4-byte alignment
PFILE_FULL_EA_INFORMATION ea = calloc(1, bufSize);
ea->NextEntryOffset = 0;
ea->Flags           = 0;
ea->EaNameLength    = eaNameLen;
ea->EaValueLength   = eaValueLen;
memcpy(ea->EaName, eaName, eaNameLen + 1);
memcpy(ea->EaName + eaNameLen + 1, payload, eaValueLen);

IO_STATUS_BLOCK iosb;
NTSTATUS st = NtSetEaFile(h, &iosb, ea, bufSize);

; NtSetEaFile direct syscall (Win11 24H2 SSN 0x1A0)
NtSetEaFile PROC
    mov  r10, rcx
    mov  eax, 1A0h
    syscall
    ret
NtSetEaFile ENDP

// Cargo: windows-sys = "0.59" (Win32_Foundation, Win32_System_LibraryLoader)
use std::ffi::CString;
use windows_sys::Win32::Foundation::*;
use windows_sys::Win32::System::LibraryLoader::*;

type NtSetEaFileFn = unsafe extern "system" fn(
    HANDLE, *mut u8 /* IoStatusBlock */, *const u8 /* Buffer */, u32 /* Length */,
) -> i32;

unsafe fn write_ea(handle: HANDLE, name: &str, value: &[u8]) -> i32 {
    let name_c = CString::new(name).unwrap();
    let n_len = name_c.as_bytes().len() as u8;
    let v_len = value.len() as u16;
    let mut size = 8usize + 1 + n_len as usize + 1 + v_len as usize;
    size = (size + 3) & !3;
    let mut buf = vec![0u8; size];
    buf[4] = 0;            // Flags
    buf[5] = n_len;        // EaNameLength
    buf[6..8].copy_from_slice(&v_len.to_le_bytes());
    let off_name = 8;
    buf[off_name..off_name + n_len as usize].copy_from_slice(name_c.as_bytes());
    let off_val = off_name + n_len as usize + 1;
    buf[off_val..off_val + value.len()].copy_from_slice(value);

    let nt = GetModuleHandleA(b"ntdll.dll\0".as_ptr());
    let f: NtSetEaFileFn = std::mem::transmute(
        GetProcAddress(nt, b"NtSetEaFile\0".as_ptr()).unwrap()
    );
    let mut iosb = [0u8; 16];
    f(handle, iosb.as_mut_ptr(), buf.as_ptr(), size as u32)
}

Mapeos MITRE ATT&CK

• T1564.004Hide Artifacts: NTFS File Attributesmitre ↗
• T1564Hide Artifactsmitre ↗
• T1106Native APImitre ↗