NtUnlockVirtualMemory

Prototipo

NTSTATUS NtUnlockVirtualMemory(
  HANDLE  ProcessHandle,
  PVOID  *BaseAddress,
  PSIZE_T RegionSize,
  ULONG   MapType
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 DE 01 00 00      mov eax, 0x1DE
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

La contraparte estricta de NtLockVirtualMemory. El SSN deriva en cada release mayor (`0x1C5` Win10 1903, `0x1CB` 2004, `0x1DE` Win11 24H2 / Server 2025). Llamarlo sobre una región no bloqueada retorna `STATUS_NOT_LOCKED` (0xC000002A) que es benigno; llamarlo con un `MapType` no coincidente retorna `STATUS_INVALID_PARAMETER`. La implementación kernel baja de nuevo el mínimo del working set del proceso, pero no pagina activamente la región — simplemente permite el trim. Prácticamente cada uso legítimo está emparejado uno a uno con un NtLockVirtualMemory previo.

Uso común por malware

El lado del despertar del patrón sleep-mask documentado en NtLockVirtualMemory. Ekko, Foliage y la familia `Sleep_Mask` Cobalt Strike usan un ciclo `Lock → Cifrar → Dormir → Descifrar → Unlock` cada intervalo de callback del beacon; el `Unlock` correspondiente libera la cuota de working set para que asignaciones posteriores no queden saturadas. Algunos packers también desbloquean la región OEP tras un timeout watchdog para reducir su huella visible en el working set. Por sí solo, NtUnlockVirtualMemory esencialmente nunca es el foco de comportamiento malicioso — su presencia es más útil como señal de *emparejamiento* junto a un NtLockVirtualMemory del mismo hilo sobre el mismo rango antes en la traza.

Oportunidades de detección

Detectar el *par*, no la llamada aislada. La secuencia clásica de alta señal dentro de un hilo: `NtAllocateVirtualMemory(RWX)` → `NtLockVirtualMemory(MAP_PROCESS)` → `NtDelayExecution(largo)` → `NtUnlockVirtualMemory` → ejecutar. Hookear el thunk user-mode VirtualUnlock y correlacionar con el sitio VirtualLock previo y los bits de protección de la asignación. Los escáneres de memoria que snapshotean la pertenencia al working set a lo largo del tiempo a veces pueden detectar el pulso lock-luego-unlock — aunque muchos EDR no retienen ese historial. Como con NtLockVirtualMemory, no hay evento ETW de primera clase; el encadenamiento de comportamiento es el camino.

Ejemplos de syscalls directos

; Direct syscall stub for NtUnlockVirtualMemory
NtUnlockVirtualMemory PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1DEh         ; SSN (Win11 24H2 / Server 2025)
    syscall
    ret
NtUnlockVirtualMemory ENDP

// Symmetric counterpart to the SleepWithLockedRegion example: after the
// caller wakes and decrypts in place, unlock so the working-set quota is
// returned and subsequent allocations aren't crowded.
#include <windows.h>

typedef NTSTATUS (NTAPI *pNtUnlockVirtualMemory)(HANDLE, PVOID*, PSIZE_T, ULONG);
#define MAP_PROCESS 1

NTSTATUS UnlockRegion(PVOID base, SIZE_T size) {
    pNtUnlockVirtualMemory NtUnlockVirtualMemory = (pNtUnlockVirtualMemory)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtUnlockVirtualMemory");
    PVOID  b = base;
    SIZE_T s = size;
    return NtUnlockVirtualMemory((HANDLE)-1, &b, &s, MAP_PROCESS);
}

// Cargo: windows-sys = "0.59" (Win32_System_Memory)
use windows_sys::Win32::System::Memory::{VirtualLock, VirtualUnlock};

pub struct Pinned { ptr: *mut u8, len: usize }

impl Pinned {
    pub fn new(p: *mut u8, len: usize) -> std::io::Result<Self> {
        if unsafe { VirtualLock(p as _, len) } == 0 {
            return Err(std::io::Error::last_os_error());
        }
        Ok(Self { ptr: p, len })
    }
}

impl Drop for Pinned {
    fn drop(&mut self) {
        // VirtualUnlock — underneath, NtUnlockVirtualMemory(MAP_PROCESS).
        unsafe { VirtualUnlock(self.ptr as _, self.len); }
    }
}

Mapeos MITRE ATT&CK

• T1027.011Obfuscated Files or Information: Fileless Storagemitre ↗
• T1027Obfuscated Files or Informationmitre ↗
• T1106Native APImitre ↗