NtWriteVirtualMemory

Prototipo

NTSTATUS NtWriteVirtualMemory(
  HANDLE  ProcessHandle,
  PVOID   BaseAddress,
  PVOID   Buffer,
  SIZE_T  NumberOfBytesToWrite,
  PSIZE_T NumberOfBytesWritten
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 3A 00 00 00      mov eax, 0x3A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Implementado por `MmCopyVirtualMemory` en ntoskrnl.exe con `PreviousMode = UserMode`, lo que fuerza un probe-and-lock completo de ambos búferes. La SSN `0x3A` ha permanecido sin cambios en cada build Win10/11 lanzada — la disposición de la tabla simplemente no ha movido esta entrada. El kernel realiza la copia mediante un mapeo transitorio; no requiere que la página destino sea escribible desde userland, solo que los permisos de sección permitan escritura desde el kernel. Por eso la inyección en páginas de solo lectura tiene éxito en muchos casos.

Uso común por malware

El paso `Write` de la cadena clásica OpenProcess → VirtualAllocEx → WriteProcessMemory → CreateRemoteThread. Se usa para depositar shellcode, un PE con IAT ya resuelta o un stub de loader reflexivo en un proceso remoto. Más allá de la inyección de shellcode también se abusa para sobrescribir prólogos de función para inline hooks, parchear `AMSI.dll!AmsiScanBuffer` o `clr.jit!compileMethod` para bypasses AMSI/ETW, y como primitiva de escritura en variantes de PPID spoofing y process doppelgänging. Brute Ratel, Cobalt Strike, Sliver, Qakbot e IcedID dependen de ella en su cadena de loader.

Oportunidades de detección

Las escrituras entre procesos se observan principalmente vía Sysmon Event ID 10 (`ProcessAccess`) cuando la máscara de acceso solicitada contiene `PROCESS_VM_WRITE` (0x0020) o `PROCESS_VM_OPERATION` (0x0008). El proveedor ETW Threat Intelligence también emite notificaciones de escritura para ciertos procesos protegidos. Los EDR hookean `NtWriteVirtualMemory` en ntdll; los syscalls directos eluden el hook pero el kernel sigue actualizando los contadores VAD del objetivo y puede observarse mediante callbacks `PsSetCreateProcessNotifyRoutineEx` si la escritura desencadena una creación de hilo posterior. Las escrituras dirigidas a procesos de otra sesión o que apuntan a `lsass.exe` o binarios de navegador merecen una puntuación elevada.

Ejemplos de syscalls directos

; Direct syscall stub for NtWriteVirtualMemory (SSN 0x3A, stable across all Win10/11)
NtWriteVirtualMemory PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 3Ah          ; SSN
    syscall
    ret
NtWriteVirtualMemory ENDP

// Write shellcode into a previously-allocated remote region.
SIZE_T written = 0;
NTSTATUS st = NtWriteVirtualMemory(hRemote, remote_base,
                                   shellcode, shellcode_len, &written);
if (!NT_SUCCESS(st) || written != shellcode_len) {
    // partial write: typically PAGE_NOACCESS encountered halfway
    return st;
}

// Cargo: ntapi = "0.4"
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_write_virtual_memory_stub() {
    // SSN 0x3A across every supported build.
    asm!(
        "mov r10, rcx",
        "mov eax, 0x3A",
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1055.002Portable Executable Injectionmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1106Native APImitre ↗