NtAllocateVirtualMemoryEx

Prototype

NTSTATUS NtAllocateVirtualMemoryEx(
  HANDLE                 ProcessHandle,
  PVOID                 *BaseAddress,
  PSIZE_T                RegionSize,
  ULONG                  AllocationType,
  ULONG                  PageProtection,
  PMEM_EXTENDED_PARAMETER ExtendedParameters,
  ULONG                  ExtendedParameterCount
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 78 00 00 00      mov eax, 0x78
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtAllocateVirtualMemoryEx a été introduit dans Windows 10 1803 pour servir les nouvelles API VirtualAlloc2 / VirtualAlloc2FromApp. Son SSN a changé trois fois dans la fenêtre supportée — 0x74 sur RS4–19H2, 0x76 de 20H1 à 23H2, et 0x78 sur 24H2 / Server 2025 — donc la résolution dynamique (Hell's Gate / Halo's Gate / Tartarus' Gate) est obligatoire dès qu'on cible plus d'un channel. Par rapport à NtAllocateVirtualMemory, il ajoute le tableau MEM_EXTENDED_PARAMETER et supporte les allocations placeholder (utilisées par Windows pour les mappings sparse et style memfd).

Usage courant par les malwares

De plus en plus préféré à NtAllocateVirtualMemory classique pour trois raisons. (1) **Surface moins hookée** : beaucoup d'EDR ne patchent que NtAllocateVirtualMemory, laissant la variante Ex non instrumentée ; des loaders récents BumbleBee, IcedID et Latrodectus appellent explicitement le chemin Ex pour cette raison. (2) **PAGE_TARGETS_INVALID** marque la nouvelle région comme cible d'appel indirect invalide sous CFG, puis le loader bascule en PAGE_EXECUTE_READ ; c'est la méthode documentée pour contourner CFG quand l'hôte l'active. (3) **MEM_EXTENDED_PARAMETER avec MemExtendedParameterAddressRequirements** permet à l'implant de demander une allocation à une adresse haute précise, utile pour usurper des bases de modules dans des processus distants.

Opportunités de détection

Les allocations cross-process via le chemin Ex avec ExtendedParameterCount non nul sont rares hors pilotes graphiques et brokers AppContainer — alertables. Le callback `EtwTiLogAllocExecVm` d'ETW Threat Intelligence se déclenche sur le chemin Ex comme sur l'appel classique. Sysmon ne distingue pas nativement les deux ; la corrélation avec NtWriteVirtualMemory / NtCreateThreadEx reste le signal comportemental le moins coûteux. Les EDR ne hookant que NtAllocateVirtualMemory rateront tout — vérifier la couverture des hooks sur les deux noms lors d'exercices purple-team.

Exemples de syscalls directs

; Direct syscall stub for NtAllocateVirtualMemoryEx (SSN 0x78 on 24H2/2025)
NtAllocateVirtualMemoryEx PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 78h          ; SSN — RESOLVE DYNAMICALLY for multi-build targeting
    syscall
    ret
NtAllocateVirtualMemoryEx ENDP

// Allocate RWX page that CFG will not accept as a valid indirect call target.
// Then flip to RX before calling — defeats CFG-only mitigations.
#include <windows.h>

typedef NTSTATUS (NTAPI *pNtAllocateVirtualMemoryEx)(
    HANDLE, PVOID*, PSIZE_T, ULONG, ULONG, PMEM_EXTENDED_PARAMETER, ULONG);

PVOID  base = NULL;
SIZE_T size = 0x1000;
pNtAllocateVirtualMemoryEx Fn = (pNtAllocateVirtualMemoryEx)
    GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtAllocateVirtualMemoryEx");
Fn((HANDLE)-1, &base, &size,
   MEM_COMMIT | MEM_RESERVE,
   PAGE_EXECUTE_READWRITE | PAGE_TARGETS_INVALID,
   NULL, 0);

// Cargo: windows-sys = "0.59" (Win32_System_Memory)
use windows_sys::Win32::System::Memory::{
    VirtualAlloc2, MEM_COMMIT, MEM_RESERVE, PAGE_EXECUTE_READWRITE,
};

pub unsafe fn alloc_rwx(size: usize) -> *mut core::ffi::c_void {
    VirtualAlloc2(0, core::ptr::null_mut(), size,
                  MEM_COMMIT | MEM_RESERVE,
                  PAGE_EXECUTE_READWRITE,
                  core::ptr::null_mut(), 0)
}

Mappings MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1620Reflective Code Loadingmitre ↗
• T1106Native APImitre ↗