NtCreateProfile

Prototype

NTSTATUS NtCreateProfile(
  PHANDLE        ProfileHandle,
  HANDLE         Process,
  PVOID          ProfileBase,
  SIZE_T         ProfileSize,
  ULONG          BucketSize,
  PULONG         Buffer,
  ULONG          BufferSize,
  KPROFILE_SOURCE ProfileSource,
  KAFFINITY      Affinity
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1                  mov r10, rcx
B8 C2 00 00 00            mov eax, 0xC2
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Notes non documentées

NtCreateProfile, avec NtStartProfile / NtStopProfile / NtSetIntervalProfile / NtQueryIntervalProfile, pilote le profileur d'échantillonnage classique du noyau — le même backend qui propulsait KernRate il y a des décennies et qui aujourd'hui est encore utilisé par certains scénarios PerfView et WPR. Le profileur s'attache au timer haute résolution (ou à une source PMU matérielle sur les CPU compatibles) et à chaque tick incrémente le bucket d'histogramme correspondant au RIP interrompu, à condition que RIP tombe dans [ProfileBase, ProfileBase + ProfileSize). Le pointeur Buffer est fourni par l'user-mode mais le noyau y écrit directement depuis le contexte ISR, c'est pourquoi le tampon doit rester résident (en pratique l'appelant devrait le VirtualLock). Nécessite SeSystemProfilePrivilege pour le profilage à l'échelle système.

Usage courant par les malwares

Signal offensif réellement faible. Les abus historiques sont étroits : (1) des travaux académiques de canal auxiliaire qui utilisaient des profileurs d'échantillonnage pour empreinter le comportement de l'ordonnanceur noyau et inférer des secrets de threads victimes sur cœurs partagés ; (2) des PoC d'attaque de timing de niche qui abusaient de `ProfileTotalIssues` pour compter les instructions retirées dans des chemins de code étrangers. Aucun ne s'est traduit en malware grand public — l'exigence de SeSystemProfilePrivilege et l'empreinte syscall inhabituelle rendent l'opération plus pénible que rentable comparée à QueryPerformanceCounter pour le timing ou à l'accès PMU-MSR pour des canaux auxiliaires fins. Territoire majoritairement défensif.

Opportunités de détection

Usage de fond très faible dans le malware user-mode. Un processus non-système appelant NtCreateProfile, surtout avec `Process == NULL` (system-wide) et `ProfileSource != ProfileTime`, n'est essentiellement jamais bénin. Auditez les attributions de `SeSystemProfilePrivilege` comme vous auditeriez SeDebugPrivilege. L'objet profil lui-même est visible sous `\KernelObjects` et les handles de profil nommés peuvent être énumérés via NtQueryObject. La couverture EDR est faible — c'est l'un des rares syscalls natifs que presque rien ne hooke parce que presque rien ne l'appelle.

Exemples de syscalls directs

// Minimal NtCreateProfile + NtStartProfile sequence — defensive perf use.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *PNTCREATEPROFILE)(PHANDLE, HANDLE, PVOID, SIZE_T, ULONG,
                                           PULONG, ULONG, ULONG, ULONG_PTR);
typedef NTSTATUS (NTAPI *PNTSTARTPROFILE)(HANDLE);

void profile_self(PVOID base, SIZE_T size) {
    ULONG bucketShift = 2;                 // 4-byte buckets
    ULONG entries     = (ULONG)(size >> bucketShift);
    ULONG *buf        = (ULONG*)VirtualAlloc(NULL, entries * sizeof(ULONG),
                                             MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
    VirtualLock(buf, entries * sizeof(ULONG));

    HMODULE nt = GetModuleHandleA("ntdll.dll");
    PNTCREATEPROFILE pNtCreateProfile = (PNTCREATEPROFILE)GetProcAddress(nt, "NtCreateProfile");
    PNTSTARTPROFILE  pNtStartProfile  = (PNTSTARTPROFILE) GetProcAddress(nt, "NtStartProfile");

    HANDLE hProf = NULL;
    pNtCreateProfile(&hProf, GetCurrentProcess(), base, size, bucketShift,
                     buf, entries * sizeof(ULONG), 0 /* ProfileTime */, 0);
    pNtStartProfile(hProf);
}

NtCreateProfile PROC
    mov  r10, rcx
    mov  eax, 0C2h
    syscall
    ret
NtCreateProfile ENDP

Mappings MITRE ATT&CK

• T1106Native APImitre ↗