NtSetInformationFile

Prototipo

NTSTATUS NtSetInformationFile(
  HANDLE                 FileHandle,
  PIO_STATUS_BLOCK       IoStatusBlock,
  PVOID                  FileInformation,
  ULONG                  Length,
  FILE_INFORMATION_CLASS FileInformationClass
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 27 00 00 00      mov eax, 0x27
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

SSN estable en `0x27` en todos los builds soportados. La potencia reside en el enum `FILE_INFORMATION_CLASS` — más de 70 clases, pero cuatro importan operativamente: `FileRenameInformation` / `FileRenameInformationEx` (renombrar/mover, incluso sobre nombres bloqueados con FLAGS_POSIX_SEMANTICS en builds modernos), `FileDispositionInformation` / `FileDispositionInformationEx` (marcar para borrar; la variante Ex, añadida en RS1, soporta `FILE_DISPOSITION_FORCE_PERMANENTLY_CHECK_ACCESS` y `FILE_DISPOSITION_POSIX_SEMANTICS` para unlink-while-open), `FileAllocationInformation` (preasignar espacio para escrituras de ransomware veloces) y `FileEndOfFileInformation` (truncar). Dispose/rename pasan por IRP_MJ_SET_INFORMATION y son vistos por cada minifilter.

Uso común por malware

Dos abusos dominantes: (1) **renombrado atómico con cambio de extensión por ransomware**. Cifrar el archivo in situ y `FileRenameInformation` a `<original>.locked` — funciona aunque el archivo lo tenga abierto otro proceso si `FILE_RENAME_POSIX_SEMANTICS` está activado. (2) **Auto-borrado que sobrevive a un EDR sujetando el handle**. Abrir el EXE en ejecución, llamar a `NtSetInformationFile` con `FileRenameInformationEx` a una ruta larga alternativa, luego `FileDispositionInformationEx` con `FILE_DISPOSITION_POSIX_SEMANTICS | FILE_DISPOSITION_DELETE` — el archivo se desvincula al instante aunque el handle siga en uso, técnica documentada por Jonas Lykkegaard / LloydLabs como `delete-self-poc`. También usada por wipers para truncar archivos críticos a cero antes de la disposición final.

Oportunidades de detección

Sysmon Event ID 23 (FileDelete) y 26 (FileDeleteDetected — captura el contenido de archivos borrados cuando archive store está habilitado) detectan disposes a posteriori. El evento ETW `SetInformation` de Microsoft-Windows-Kernel-File porta la FileInformationClass; filtrar por clases 10, 13, 64 y 65 (FileRenameInformationEx) da una señal enfocada. Renombrados masivos en ventana corta con patrón de nueva extensión consistente (`.locked`, `.encrypted`, sufijos aleatorios de 5 chars) es el indicador clásico de ransomware — la mayoría de los EDR lo implementan como heurística de minifilter, ya que los hooks de usuario se eluden con syscalls directas. La técnica de autoborrado aparece como renombrado de la imagen principal de un proceso seguido de FileDispositionInformationEx mientras la sección de imagen sigue mapeada — una pista extremadamente nítida.

Ejemplos de syscalls directos

// FileRenameInformation == 10
typedef struct _FILE_RENAME_INFORMATION {
    BOOLEAN ReplaceIfExists;
    HANDLE  RootDirectory;
    ULONG   FileNameLength;
    WCHAR   FileName[1];
} FILE_RENAME_INFORMATION, *PFILE_RENAME_INFORMATION;

WCHAR newName[] = L"\\??\\C:\\Users\\v\\report.docx.locked";
SIZE_T nameLen = wcslen(newName) * sizeof(WCHAR);
SIZE_T size = FIELD_OFFSET(FILE_RENAME_INFORMATION, FileName) + nameLen;

PFILE_RENAME_INFORMATION info = LocalAlloc(LPTR, size);
info->ReplaceIfExists = TRUE;
info->RootDirectory   = NULL;
info->FileNameLength  = (ULONG)nameLen;
memcpy(info->FileName, newName, nameLen);

IO_STATUS_BLOCK iosb;
NtSetInformationFile(hFile, &iosb, info, (ULONG)size, FileRenameInformation);

// LloydLabs delete-self-poc primitive.
// FileRenameInformationEx == 65, FileDispositionInformationEx == 64
typedef struct _FILE_DISPOSITION_INFORMATION_EX {
    ULONG Flags;
} FILE_DISPOSITION_INFORMATION_EX, *PFILE_DISPOSITION_INFORMATION_EX;

#define FILE_DISPOSITION_DELETE                       0x1
#define FILE_DISPOSITION_POSIX_SEMANTICS              0x2
#define FILE_DISPOSITION_FORCE_IMAGE_SECTION_CHECK    0x4
#define FILE_DISPOSITION_ON_CLOSE                     0x8

// 1) Open current image with DELETE | SYNCHRONIZE.
// 2) Rename to an ADS (`:wat`) via FileRenameInformationEx.
// 3) Re-open with DELETE access.
// 4) Mark for delete:
FILE_DISPOSITION_INFORMATION_EX d = {
    .Flags = FILE_DISPOSITION_DELETE | FILE_DISPOSITION_POSIX_SEMANTICS
};
IO_STATUS_BLOCK iosb;
NtSetInformationFile(hSelf, &iosb, &d, sizeof(d), FileDispositionInformationEx);

NtSetInformationFile PROC
    mov  r10, rcx
    mov  eax, 27h
    syscall
    ret
NtSetInformationFile ENDP

Mapeos MITRE ATT&CK

• T1486Data Encrypted for Impactmitre ↗
• T1070.004File Deletionmitre ↗
• T1485Data Destructionmitre ↗
• T1106Native APImitre ↗