NtTraceEvent

Prototipo

NTSTATUS NtTraceEvent(
  HANDLE TraceHandle,
  ULONG  Flags,
  ULONG  FieldSize,
  PVOID  Fields
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1                  mov r10, rcx
B8 5E 00 00 00            mov eax, 0x5E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Notas no documentadas

El punto de entrada del kernel detrás de cada *escritura* ETW de user-mode. `EventWrite`, `EventWriteEx`, `EventWriteTransfer`, `EtwEventWrite` y los emisores TraceLogging autogenerados desembocan en `ntdll!EtwEventWriteFull` → `NtTraceEvent`. El TraceHandle *no* es un handle de sesión — es el handle de registro por provider devuelto por `EtwRegister`, y el kernel recorre la máscara de habilitación del provider para decidir qué sesiones reciben el evento. Su SSN ha sido `0x5E` desde Windows 10 1507 hasta Windows 11 24H2 y Server 2025, uno de los números de syscall más estables del sistema, presumiblemente porque está en el camino caliente de toda la telemetría Microsoft.

Uso común por malware

Valor ofensivo directo limitado — invocarlo escribe eventos que los defensores *pueden* ver. El reverso interesante es el opuesto: implantes que desean un canal de log privado registran deliberadamente un GUID de provider que nadie recolecta y llaman `NtTraceEvent` para garabatear debug runtime en una sesión a la que ningún SOC se suscribe. Algunos loaders también lo usan para emitir eventos falsos `Microsoft-Windows-*` que diluyen las consultas de hunt. Mucha más atención va a *suprimir* escrituras (ver `NtTraceControl`) que a abusar directamente de esta llamada. Algunas notas de evasión EDR mencionan sobrescribir `EtwEventWrite` con `ret` en ntdll, colapsando el lado user-mode de este camino exacto.

Oportunidades de detección

Por sí solos, los llamados a `NtTraceEvent` son puro ruido — cada app de Office, pestaña de navegador y servicio Windows emite miles por segundo. Lo que importa es la *ausencia* de eventos esperados de un proceso cuyo ntdll fue parcheado (p. ej. primer byte de `EtwEventWrite` = `0xC3`). Compare los bytes de ntdll en memoria contra los del disco para los cuatro stubs clásicos de escritura ETW (`EtwEventWrite`, `EtwEventWriteFull`, `EtwEventWriteEx`, `EtwEventWriteTransfer`); cualquier divergencia es alta fidelidad. A nivel de sesión, los huecos de log para los providers `Microsoft-Windows-Threat-Intelligence` y `Microsoft-Windows-Kernel-Process` correlacionados con creaciones de procesos son la señal clásica de bypass ETW.

Ejemplos de syscalls directos

// Standard TraceLogging path — ultimately calls NtTraceEvent.
#include <windows.h>
#include <evntprov.h>

static const GUID kImplantProvider =
    { 0x11111111, 0x2222, 0x3333, { 0x44,0x55,0x66,0x77,0x88,0x99,0xAA,0xBB } };

REGHANDLE hReg = 0;
EventRegister(&kImplantProvider, NULL, NULL, &hReg);

EVENT_DESCRIPTOR ed = { 0 };
ed.Id = 1; ed.Level = 4; // Information

EVENT_DATA_DESCRIPTOR edd;
const wchar_t* msg = L"beacon-checkin";
EventDataDescCreate(&edd, msg, (ULONG)((wcslen(msg) + 1) * sizeof(wchar_t)));

// Funnels through ntdll!EtwEventWriteFull -> NtTraceEvent.
EventWriteTransfer(hReg, &ed, NULL, NULL, 1, &edd);

NtTraceEvent PROC
    mov  r10, rcx
    mov  eax, 5Eh
    syscall
    ret
NtTraceEvent ENDP

// Cargo: windows-sys = { version = "0.59", features = ["Win32_System_Diagnostics_Etw"] }
use windows_sys::Win32::System::Diagnostics::Etw::*;
use windows_sys::core::GUID;

const PROVIDER: GUID = GUID::from_u128(0x11111111_2222_3333_4455_66778899AABB);

unsafe fn beacon_log(msg: &[u8]) {
    let mut hreg: u64 = 0;
    EventRegister(&PROVIDER, None, std::ptr::null_mut(), &mut hreg);

    let ed = EVENT_DESCRIPTOR { Id: 1, Level: 4, ..core::mem::zeroed() };
    let mut edd = EVENT_DATA_DESCRIPTOR { Ptr: msg.as_ptr() as u64, Size: msg.len() as u32, Reserved: 0 };
    EventWrite(hreg, &ed, 1, &mut edd);
}

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗
• T1562Impair Defensesmitre ↗