NtCreatePartition

Prototype

NTSTATUS NtCreatePartition(
  PHANDLE            PartitionHandle,
  HANDLE             ParentPartitionHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  ULONG              PreferredNode
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1                  mov r10, rcx
B8 BD 00 00 00            mov eax, 0xBD
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Notes non documentées

Introduit dans Windows 10 Redstone 2 (1703) dans le cadre du sous-système de partitions mémoire bâti à l'origine pour l'isolation mémoire du mode-jeu et des containers Hyper-V. Une partition possède ses propres page lists, pages disponibles, thread modified-page-writer et standby cache ; les processus associés (`ProcessInformationClass = ProcessAttachToMemoryPartition`) tirent leur mémoire physique exclusivement d'elle. Le wrapper standard `CreatePartition` vit dans `api-ms-win-core-memorypartition-l1` (stub kernel32), mais l'usage majoritaire est interne — Hyper-V, le runtime de containers Windows, et `SystemSettings` pour la réservation Game Mode le consomment tous. Requiert `SeLockMemoryPrivilege` plus l'ACL `MEMORY_PARTITION_ALL_ACCESS` sur le parent.

Usage courant par les malwares

Signal offensif très faible. L'exigence de privilège (`SeLockMemoryPrivilege`) verrouille presque tout usage intéressant, et la complexité opérationnelle de déplacer des processus entre partitions n'apporte pas grand-chose qu'un simple section-mapping n'offre déjà. Le seul usage réellement au niveau recherche est l'**isolation de canal auxiliaire dans les sandboxes de télémétrie red-team** — partitionner le working-set d'un capteur pour que les fuites de timing par pression sur pagefile depuis la victime ne corrèlent plus avec les mesures du capteur. Aucune famille de malware commodity public n'est documentée en train d'utiliser ceci.

Opportunités de détection

Les appels à `NtCreatePartition` venant de quoi que ce soit en dehors de `lsass.exe` (brièvement au boot), `vmcompute.exe`, `vmwp.exe`, `SystemSettings.exe` et quelques services dédiés au mode-jeu sont intrinsèquement suspects. Le provider `Microsoft-Windows-Kernel-Memory` émet l'évènement 8 (`PartitionCreated`) avec le chemin d'image appelant. Auditer les ajustements de `SeLockMemoryPrivilege` sur des tokens non-service est le signal en amont le moins coûteux — le privilège est requis et rarement détenu légitimement par du code user-mode.

Exemples de syscalls directs

// Requires SeLockMemoryPrivilege and a writable SD on the parent.
#include <windows.h>
#include <winternl.h>

#define MEMORY_PARTITION_ALL_ACCESS 0x000F0003

typedef NTSTATUS (NTAPI* pNtCreatePartition)(
    PHANDLE, HANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES, ULONG);

void make_partition(void) {
    UNICODE_STRING name;
    RtlInitUnicodeString(&name, L"\\KernelObjects\\Sandbox1");
    OBJECT_ATTRIBUTES oa;
    InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

    pNtCreatePartition f = (pNtCreatePartition)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtCreatePartition");

    HANDLE h = NULL;
    NTSTATUS st = f(&h, NULL /* parent = system */,
                    MEMORY_PARTITION_ALL_ACCESS, &oa,
                    0xFFFFFFFF /* any NUMA node */);
}

NtCreatePartition PROC
    mov  r10, rcx
    mov  eax, 0BDh
    syscall
    ret
NtCreatePartition ENDP

Mappings MITRE ATT&CK

• T1106Native APImitre ↗