NtCreateProcessEx

Prototype

NTSTATUS NtCreateProcessEx(
  PHANDLE            ProcessHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  HANDLE             ParentProcess,
  ULONG              Flags,
  HANDLE             SectionHandle,
  HANDLE             DebugPort,
  HANDLE             ExceptionPort,
  ULONG              JobMemberLevel
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 4D 00 00 00      mov eax, 0x4D
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtCreateProcessEx est le point d'entrée bas-niveau de création de processus. Contrairement à NtCreateUserProcess (utilisé désormais par CreateProcessW), NtCreateProcessEx exige que l'appelant ait pré-créé une section SEC_IMAGE depuis l'exécutable cible via NtCreateSection(SEC_IMAGE) puis la rattache. Surtout, le processus résultant n'a pas de thread initial — l'appelant doit ensuite appeler NtCreateThreadEx (ou NtCreateThread). Cette séparation fait de NtCreateProcessEx la brique canonique du *process hollowing* et de la famille *Early Bird APC* : créer un processus, y poster du travail avant que sa première instruction ne s'exécute. Le SSN `0x4D` est stable sur toutes les builds supportées.

Usage courant par les malwares

Utilisée par les chaînes de process hollowing qui veulent éviter la télémétrie de CreateProcessW, par les outils de PPID-spoofing (positionner ParentProcess sur explorer.exe ou un autre PID de confiance), et par les variantes Early Bird combinant NtCreateProcessEx + NtCreateThreadEx(suspendu) + NtQueueApcThreadEx. Les fonctions spawnto/spoof-parent de Cobalt Strike atteignent au final ce chemin de code. Moins courante comme primitive offensive de haut niveau aujourd'hui car NtCreateUserProcess offre un contrôle d'attributs plus riche en un seul syscall.

Opportunités de détection

ETW Microsoft-Windows-Kernel-Process émet des événements ProcessStart depuis PspInsertProcess indépendamment du point d'entrée userland ; le noyau ne distingue pas NtCreateProcessEx de NtCreateUserProcess à ce callback. Sysmon Event ID 1 se déclenche dans les deux cas et expose le vrai PID parent même quand CreateProcessW aurait menti. Les hooks userland sur kernelbase!CreateProcessW ratent les appelants en syscalls directs ; les hooks doivent être placés sur ntdll!NtCreateUserProcess *et* ntdll!NtCreateProcessEx. Indicateur suspect : une section SEC_IMAGE sur un PE non signé suivie en quelques millisecondes par NtCreateProcessEx puis NtCreateThreadEx en état suspendu.

Exemples de syscalls directs

; Direct syscall stub for NtCreateProcessEx (SSN 0x4D, stable on Win10 1507+ through Win11 24H2)
NtCreateProcessEx PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 4Dh          ; SSN
    syscall
    ret
NtCreateProcessEx ENDP

// Open the target PE and wrap it in a SEC_IMAGE section, then spawn a process backed by it.
HANDLE hFile = NULL;
IO_STATUS_BLOCK iosb = { 0 };
OBJECT_ATTRIBUTES oa = { 0 };
UNICODE_STRING path;
RtlInitUnicodeString(&path, L"\\??\\C:\\Windows\\System32\\notepad.exe");
InitializeObjectAttributes(&oa, &path, OBJ_CASE_INSENSITIVE, NULL, NULL);
NtOpenFile(&hFile, FILE_EXECUTE | SYNCHRONIZE, &oa, &iosb,
           FILE_SHARE_READ, FILE_SYNCHRONOUS_IO_NONALERT);

HANDLE hSection = NULL;
NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, NULL,
                PAGE_READONLY, SEC_IMAGE, hFile);

HANDLE hProcess = NULL;
NtCreateProcessEx(&hProcess,
                  PROCESS_ALL_ACCESS,
                  NULL,
                  NtCurrentProcess(),     // ParentProcess — set elsewhere for PPID spoof
                  0,                       // Flags
                  hSection,                // SectionHandle
                  NULL,                    // DebugPort
                  NULL,                    // ExceptionPort
                  0);                      // JobMemberLevel
// New process has NO threads yet — caller must NtCreateThreadEx into it.

// Cargo: windows-sys = "0.59"
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_create_process_ex_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x4D",
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1055.012Process Hollowingmitre ↗
• T1134.004Parent PID Spoofingmitre ↗
• T1106Native APImitre ↗