NtVdmControl

Prototipo

NTSTATUS NtVdmControl(
  VDMSERVICECLASS ServiceClass,
  PVOID           ServiceData
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 E2 01 00 00      mov eax, 0x1E2
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtVdmControl es el back-end kernel de NT Virtual DOS Machine (NTVDM) — el subsistema de Windows NT que ejecutaba binarios MS-DOS de 16 bits y Win16 sobre Windows de 32 bits a través de ntvdm.exe. NTVDM fue *eliminado por completo* en las ediciones de 64 bits de Windows, porque las CPU en long-mode no pueden ejecutar el v8086-mode del que NTVDM dependía. El stub del syscall sin embargo sobrevive en ntoskrnl.exe de 64 bits y despacha a un stub que devuelve STATUS_NOT_IMPLEMENTED para cualquier ServiceClass en x64. En Windows 10/11 de 32 bits (y sobre ntvdm.exe hospedado en WoW64 hasta ediciones de 32 bits) la llamada presta servicios de encolado de interrupciones, mantenimiento del área de datos BIOS y transiciones de estado v8086 para el proceso DOS atrapado. No existe wrapper Win32 público; lo que la usa es interno a ntvdm.exe y al subsistema WoW16/NTVDM.

Uso común por malware

Puro interés histórico en x64 moderno. En XP de 32 bits y Windows 7 de 32 bits NTVDM fue un vector troyano recurrente — componentes DOS de 16 bits de familias mass-mailer (variantes Bagle, Sober, Bugbear) entregaban un pequeño stub DOS que, al ejecutarse, lanzaba ntvdm.exe el cual llamaba a NtVdmControl como parte de su inicialización normal. El vector real era el código de 16 bits, no el syscall en sí, pero el syscall es el punto de paso. NTVDM también ha sido fuente de varias elevaciones de privilegio: CVE-2010-0232 (el bug del handler #GP de Tavis Ormandy, explotado en XP/Vista/7 de 32 bits) y CVE-2018-8897/8453 (bugs del kernel alcanzables vía rutas heredadas). En Windows de 64 bits el syscall es inalcanzable como primitiva útil y no hay informes de abuso in-the-wild.

Oportunidades de detección

En Windows de 64 bits, *cualquier* llamada a NtVdmControl es anómala — el llamante legítimo (ntvdm.exe) no existe y el syscall devuelve STATUS_NOT_IMPLEMENTED incondicionalmente. El proveedor ETW Microsoft-Windows-Kernel-Audit-API-Calls y los hooks de syscall-tracing de EDR pueden señalar invocaciones directamente; la tasa de falsos positivos en un endpoint Windows 11 moderno es esencialmente cero. En hosts de 32 bits, limitar la detección a procesos distintos de %SystemRoot%\System32\ntvdm.exe y vigilar cadenas padre ntvdm.exe que no provengan de un doble clic sobre un binario .com/.exe MZ-only. Sysmon Event ID 1 (creación de proceso) con padre ntvdm.exe + hijo de un binario DOS inusual es la caza práctica en sistemas heredados.

Ejemplos de syscalls directos

; Direct syscall stub for NtVdmControl (SSN 0x1E2, Win11 24H2)
; On x64 always returns 0xC0000002 STATUS_NOT_IMPLEMENTED.
NtVdmControl PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1E2h         ; SSN
    syscall
    ret
NtVdmControl ENDP

// Historical sketch — does not work on any 64-bit Windows.
// 16-bit MZ-only DOS components of early-2000s mass-mailers (Bagle, Sober)
// relied on the Windows shell auto-launching ntvdm.exe when the user
// double-clicked the 16-bit dropper. Inside, ntvdm.exe issued a long
// sequence of NtVdmControl calls to set up interrupt queues and the
// BIOS data area for the trapped DOS task.
//
// On modern x64 Windows the shell refuses to run 16-bit MZ binaries
// ("unsupported 16-bit application") and this whole vector is dead.
//
// Reference: VX-Underground archives, Symantec write-ups on Bagle.A
// and Sober.D from 2003-2004.
typedef NTSTATUS (NTAPI *PFN_NtVdmControl)(ULONG ServiceClass, PVOID ServiceData);
HMODULE hNtdll = GetModuleHandleW(L"ntdll.dll");
PFN_NtVdmControl p = (PFN_NtVdmControl)GetProcAddress(hNtdll, "NtVdmControl");
NTSTATUS s = p(/*VdmInitialize*/ 0, NULL); // STATUS_NOT_IMPLEMENTED on x64

// Detection helper: on any x64 Windows this returns STATUS_NOT_IMPLEMENTED.
// Useful inside an EDR self-test or a defensive sanity check.
use std::ffi::CString;
use std::ptr;

type NtVdmControlFn = unsafe extern "system" fn(u32, *mut core::ffi::c_void) -> i32;

fn ntvdm_is_dead() -> bool {
    unsafe {
        let ntdll = libloading::Library::new("ntdll.dll").unwrap();
        let f: libloading::Symbol<NtVdmControlFn> =
            ntdll.get(b"NtVdmControl").unwrap();
        let status = f(0, ptr::null_mut());
        status == 0xC0000002u32 as i32 // STATUS_NOT_IMPLEMENTED
    }
}

Mapeos MITRE ATT&CK

• T1068Exploitation for Privilege Escalationmitre ↗
• T1106Native APImitre ↗