NtCreateDirectoryObject

Prototype

NTSTATUS NtCreateDirectoryObject(
  PHANDLE            DirectoryHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 AC 00 00 00      mov eax, 0xAC
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Le SSN dérive lentement — `0x9B` sur 1507 jusqu'à `0xAC` sur Win11 24H2 — donc les stubs syscall directs visant NtCreateDirectoryObject sur plusieurs builds doivent passer par une résolution dynamique. L'object manager noyau organise les objets nommés en arbre de `Directory` enraciné à `\` (racine globale). Enfants standards : `\BaseNamedObjects` (IPC Session 0), `\Sessions\<n>\BaseNamedObjects` (IPC par session, où vivent la plupart des events/mutants nommés usermode), `\??` (répertoire des liens DOS du processus courant), `\KnownDlls`, `\Device`, `\Driver`. NtCreateDirectoryObject permet à un appelant (avec les bons accès) de planter de nouveaux sous-répertoires — seule la racine globale exige SeCreatePermanentPrivilege pour OBJ_PERMANENT.

Usage courant par les malwares

Trois angles offensifs. **Préparation d'évasion de sandbox** : nombre de sandboxes usermode virtualisent l'espace BNO en donnant au processus sandboxé une racine privée `\Sessions\<n>\AppContainerNamedObjects\<sid>` ; créer un répertoire à l'intérieur ou à côté est une étape des chaînes d'évasion de conteneur. **Rendez-vous C2 / inter-implant** : plusieurs implants dans la même session créent un sous-répertoire partagé sous `\Sessions\<n>\BaseNamedObjects\<aléa>` et l'utilisent comme tableau de découverte pour events nommés et symlinks de port ALPC — invisible sur disque et pour la plupart des EDR qui ne surveillent que filesystem et registre. **Évasion de sandbox via symlink planté** : combiner NtCreateDirectoryObject à NtCreateSymbolicLinkObject pour superposer un faux répertoire namespace contenant des liens de redirection (famille CVE-2019-0808, recherches d'évasion AppContainer de James Forshaw / Project Zero).

Opportunités de détection

La création dans l'espace de noms de l'object manager n'est pas remontée par Sysmon. La source autoritative est ObRegisterCallbacks côté noyau sur `IoDirectoryObjectType` (`ObGetObjectType(L"Directory")`), ou le provider ETW Microsoft-Windows-Kernel-Audit-API-Calls. Le signal le plus fort : **un processus non système et non CSRSS crée un répertoire sous `\Sessions\<n>\BaseNamedObjects` avec OBJ_PERMANENT ou directement sous `\` avec OBJ_OPENIF**. WinObj de Sysinternals ou `tools\objview` servent en mode chasse ; des produits défensifs comme `ObjectExplorer` de SpecterOps automatisent la même énumération. Surveiller aussi les processus qui créent un répertoire puis immédiatement un symlink à l'intérieur — corrélation forte avec un abus de redirection de namespace.

Exemples de syscalls directs

; Direct syscall stub for NtCreateDirectoryObject (SSN 0xAC, Win11 24H2)
NtCreateDirectoryObject PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0ACh         ; SSN (BUILD-SPECIFIC, resolve dynamically)
    syscall
    ret
NtCreateDirectoryObject ENDP

// Plant \Sessions\<n>\BaseNamedObjects\Acme to act as a per-session
// inter-implant rendezvous. Named events and ALPC ports go in here.
#include <windows.h>
#include <winternl.h>

#define DIRECTORY_ALL_ACCESS (STANDARD_RIGHTS_REQUIRED | 0xF)
#define OBJ_CASE_INSENSITIVE 0x00000040

typedef NTSTATUS (NTAPI *pNtCreateDirectoryObject)(
    PHANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES);

HANDLE CreateRendezvousDir(PCWSTR fullPath) {
    pNtCreateDirectoryObject NtCreateDirectoryObject = (pNtCreateDirectoryObject)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtCreateDirectoryObject");
    UNICODE_STRING us;
    RtlInitUnicodeString(&us, fullPath);
    OBJECT_ATTRIBUTES oa;
    InitializeObjectAttributes(&oa, &us, OBJ_CASE_INSENSITIVE, NULL, NULL);
    HANDLE hDir = NULL;
    if (NT_SUCCESS(NtCreateDirectoryObject(&hDir, DIRECTORY_ALL_ACCESS, &oa)))
        return hDir;
    return NULL;
}

// Cargo: ntapi = "0.4", widestring = "1"
// Create an overlay directory that we will later populate with a symbolic
// link redirecting \??\X: to a sensitive path. Combined with the symlink call
// this is the standard pattern for namespace-redirection sandbox escape PoCs.
use ntapi::ntobapi::NtCreateDirectoryObject;
use ntapi::ntrtl::RtlInitUnicodeString;
use ntapi::ntobapi::OBJ_CASE_INSENSITIVE;
use winapi::shared::ntdef::{OBJECT_ATTRIBUTES, UNICODE_STRING};
use widestring::U16CString;

pub unsafe fn create_overlay(path: &str) -> Option<isize> {
    let w = U16CString::from_str(path).ok()?;
    let mut us: UNICODE_STRING = std::mem::zeroed();
    RtlInitUnicodeString(&mut us, w.as_ptr());
    let mut oa: OBJECT_ATTRIBUTES = std::mem::zeroed();
    oa.Length = std::mem::size_of::<OBJECT_ATTRIBUTES>() as u32;
    oa.ObjectName = &mut us;
    oa.Attributes = OBJ_CASE_INSENSITIVE;
    let mut h: isize = 0;
    let s = NtCreateDirectoryObject(&mut h as *mut _ as _, 0xF000F, &mut oa);
    if s >= 0 { Some(h) } else { None }
}

Mappings MITRE ATT&CK

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗