NtSetVolumeInformationFile

Prototipo

NTSTATUS NtSetVolumeInformationFile(
  HANDLE                 FileHandle,
  PIO_STATUS_BLOCK       IoStatusBlock,
  PVOID                  FsInformation,
  ULONG                  Length,
  FS_INFORMATION_CLASS   FsInformationClass
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 C4 01 00 00      mov eax, 0x1C4
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Mucho más rara que su hermana `Query` porque los valores FS_INFORMATION_CLASS que los filesystems realmente aceptan en la ruta `Set` son limitados: `FileFsLabelInformation` (renombrar el volumen), `FileFsControlInformation` (política de cuota en NTFS), y `FileFsObjectIdInformation` (asignación de object-id NTFS). La mayoría de las demás clases devuelven `STATUS_INVALID_INFO_CLASS`. El IRP pasa por `IRP_MJ_SET_VOLUME_INFORMATION` y llega a NTFS en `NtfsFsdSetVolumeInformation`. Renombrar un volumen requiere el privilegio `SE_MANAGE_VOLUME_NAME`, que tienen administradores interactivos y `LocalSystem` — no usuarios estándar — así que el uso de este syscall desde un contexto no-admin es en sí mismo telemetría inusual.

Uso común por malware

Nicho pero visible. Un puñado de familias ransomware — notoriamente **Petya/NotPetya** (2017, cifrador MBR) y algunos afiliados **Babuk** / **DarkSide** — emiten `FileFsLabelInformation` para sobrescribir el nombre del volumen con su marca o una cadena `READ_ME_*`, para que cualquier pantalla de recuperación pre-boot o `dir C:\` muestre el marcador de rescate antes de que el usuario abra la nota. **BlackMatter** (2021) renombraba etiquetas a un hash corto correspondiente a su ransom ID. Más allá del ransomware, la llamada está esencialmente sin uso por malware commodity — no hay primitiva ofensiva aquí, solo branding.

Oportunidades de detección

Microsoft Defender for Endpoint expone cambios de etiqueta vía `DeviceEvents` ActionType `VolumeMounted` / `VolumeRenamed`. Sysmon *no* cubre esto directamente pero las trazas IRP ETW `Microsoft-Windows-Kernel-File` muestran `IRP_MJ_SET_VOLUME_INFORMATION` con clase 2 (`FileFsLabelInformation`). Como la ruta privilegiada es tan estrecha, *cualquier* `NtSetVolumeInformationFile(FileFsLabelInformation)` desde un proceso no confiable — algo que no sea `explorer.exe`, `cmd.exe label`, `format.com` o un producto de backup conocido — debe considerarse indicación ransomware de alta confianza, sobre todo encadenado con enumeración `NtQueryVolumeInformationFile` de todas las letras de unidad segundos antes.

Ejemplos de syscalls directos

; Direct syscall stub for NtSetVolumeInformationFile (SSN 0x1C4 on Win11 24H2 / Server 2025)
NtSetVolumeInformationFile PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1C4h         ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtSetVolumeInformationFile ENDP

// Requires SE_MANAGE_VOLUME_NAME privilege. Petya/NotPetya stamped
// volume labels with their ransom marker — visible in pre-boot UI.
#include <ntstatus.h>

typedef struct _FILE_FS_LABEL_INFORMATION {
    ULONG VolumeLabelLength;        // bytes, not chars
    WCHAR VolumeLabel[1];
} FILE_FS_LABEL_INFORMATION;

WCHAR  label[] = L"READ_ME_NOW";
SIZE_T bytes   = sizeof(label) - sizeof(WCHAR);
BYTE   buf[sizeof(FILE_FS_LABEL_INFORMATION) + sizeof(label)];
FILE_FS_LABEL_INFORMATION* p = (FILE_FS_LABEL_INFORMATION*)buf;
p->VolumeLabelLength = (ULONG)bytes;
memcpy(p->VolumeLabel, label, bytes);

IO_STATUS_BLOCK iosb;
NTSTATUS st = NtSetVolumeInformationFile(
    hVolumeRoot, &iosb, p,
    (ULONG)(sizeof(FILE_FS_LABEL_INFORMATION) + bytes),
    2 /* FileFsLabelInformation */);

// Cargo: windows-sys = "0.59" (Win32_Storage_FileSystem)
use windows_sys::Win32::Storage::FileSystem::SetVolumeLabelW;
use std::ffi::OsStr;
use std::os::windows::ffi::OsStrExt;

// Internally calls NtSetVolumeInformationFile(FileFsLabelInformation).
fn relabel(root: &str, label: &str) -> bool {
    let to_wide = |s: &str| -> Vec<u16> { OsStr::new(s).encode_wide().chain(Some(0)).collect() };
    let r = to_wide(root);
    let l = to_wide(label);
    unsafe { SetVolumeLabelW(r.as_ptr(), l.as_ptr()) != 0 }
}

Mapeos MITRE ATT&CK

• T1486Data Encrypted for Impactmitre ↗
• T1491.001Internal Defacementmitre ↗
• T1106Native APImitre ↗