NtAccessCheckAndAuditAlarm

Prototype

NTSTATUS NtAccessCheckAndAuditAlarm(
  PUNICODE_STRING       SubsystemName,
  PVOID                 HandleId,
  PUNICODE_STRING       ObjectTypeName,
  PUNICODE_STRING       ObjectName,
  PSECURITY_DESCRIPTOR  SecurityDescriptor,
  ACCESS_MASK           DesiredAccess,
  PGENERIC_MAPPING      GenericMapping,
  BOOLEAN               ObjectCreation,
  PACCESS_MASK          GrantedAccess,
  PNTSTATUS             AccessStatus,
  PBOOLEAN              GenerateOnClose
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 29 00 00 00      mov eax, 0x29
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Le contrôle d'accès audit-alarm original non-typé — précède les variantes ByType / ResultList de plusieurs générations de Windows et reste le dispatcher utilisé pour les objets à ACL plate (fichiers, clés de registre, mutex kernel, sections). Il produit l'événement Sécurité 4663 (« Une tentative d'accès à un objet a été faite ») quand la SACL ou l'AUDIT_EVENT_TYPE force l'émission. La fonction est le back-end kernel du wrapper Win32 AccessCheckAndAuditAlarmW. Le SSN `0x29` est figé depuis Windows 10 1507 — toute la famille `*AuditAlarm` se groupe dans la plage basse de syscalls qui précède les renumérotations post-1909, l'un des rares points de référence stables du Windows moderne.

Usage courant par les malwares

Négligeable. L'objet même du syscall est de laisser une trace ; les auteurs de malware l'évitent pour cette raison. Le pattern d'attaque intéressant n'est pas de l'*appeler* — c'est de faire qu'il *ne soit pas appelé* quand il devrait. Les adversaires qui doivent opérer sur des objets sous SACL sans laisser de 4663 (a) altèrent entièrement le sous-système d'audit (T1562.002 via arrêt d'EventLog, retrait de SACL en registre, ou hooks SRM par pilote installé), ou (b) contournent le chemin de code audité en allant en kernel-direct (lecture brute de secteurs NTFS via \\.\PhysicalDriveN pour esquiver les SACL fichier médiées par l'Object Manager, comme le fait le rootkit FudModule de Lazarus pour les lectures de magasin d'identifiants).

Opportunités de détection

L'événement 4663 est le cheval de trait de l'audit d'accès aux objets sur tout endpoint Windows. Sur un SIEM bien tuné, le volume est de l'ordre de la centaine à quelques milliers par heure et par poste, dominé par les accès du compte de service Defender au système de fichiers. Patterns de chasse : 4663 sur `\Device\HarddiskVolumeShadowCopy*` (accès brut shadow copy, indicateur de bypass Volsnap) ; 4663 sur les handles lsass.exe avec PROCESS_VM_READ ; 4663 sur les clés registre sous HKLM\SECURITY\Policy\Secrets. À l'inverse, une chute soudaine du volume 4663 en heures ouvrées, surtout sur contrôleur de domaine, est une alerte plus haute fidélité que n'importe quel événement isolé.

Exemples de syscalls directs

; Direct syscall stub for NtAccessCheckAndAuditAlarm (SSN 0x29, Win10 1507+)
NtAccessCheckAndAuditAlarm PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 29h          ; SSN
    syscall
    ret
NtAccessCheckAndAuditAlarm ENDP

// A user-mode service evaluates a file open against the file's SD and asks
// for the audit subsystem to record a 4663 if the SACL matches.
UNICODE_STRING sub  = RTL_CONSTANT_STRING(L"Security");
UNICODE_STRING tn   = RTL_CONSTANT_STRING(L"File");
UNICODE_STRING on_  = RTL_CONSTANT_STRING(L"\\??\\C:\\Windows\\System32\\config\\SAM");
ACCESS_MASK granted = 0;
NTSTATUS access_status = STATUS_ACCESS_DENIED;
BOOLEAN gen_on_close = FALSE;

NTSTATUS rc = NtAccessCheckAndAuditAlarm(
    &sub,
    (PVOID)0xCAFE1234,
    &tn, &on_,
    pSd,
    FILE_GENERIC_READ,
    &g_FileMapping,
    FALSE,
    &granted, &access_status,
    &gen_on_close);

// 4663 emitted with the file path and the granted access mask.
// If gen_on_close, remember to call NtCloseObjectAuditAlarm later.

use windows_sys::Win32::Security::Authorization::AccessCheckAndAuditAlarmW;
use windows_sys::Win32::Security::*;

unsafe {
    let mut granted: u32 = 0;
    let mut access_status: i32 = 0;
    let mut gen_on_close: i32 = 0;

    let ok = AccessCheckAndAuditAlarmW(
        windows_sys::w!("Security"),
        handle_id as *mut _,
        windows_sys::w!("File"),
        windows_sys::w!("\\??\\C:\\Windows\\System32\\config\\SAM"),
        sd_ptr,
        desired_access,
        &mapping as *const _ as *mut _,
        0, // ObjectCreation == FALSE
        &mut granted, &mut access_status, &mut gen_on_close,
    );
    // ok != 0 -> call succeeded; access_status == 0 -> access granted; 4663 emitted.
}

Mappings MITRE ATT&CK

• T1562.002Impair Defenses: Disable Windows Event Loggingmitre ↗
• T1106Native APImitre ↗