NtCreateSection

Prototype

NTSTATUS NtCreateSection(
  PHANDLE            SectionHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  PLARGE_INTEGER     MaximumSize,
  ULONG              SectionPageProtection,
  ULONG              AllocationAttributes,
  HANDLE             FileHandle
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 4A 00 00 00      mov eax, 0x4A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Crée un objet `_SECTION` — la primitive noyau derrière chaque mapping de fichier, chaque image chargée et chaque région de mémoire partagée sous Windows. Le SSN `0x4A` est stable sur tous les builds Win10/11. `SEC_IMAGE` est le flag le plus puissant : le noyau parse FileHandle comme un PE (valide les en-têtes, applique les relocations, configure les sous-sections par `IMAGE_SECTION_HEADER`) et la vue résultante *est* un module chargé du point de vue du noyau — elle apparaîtra dans les structures équivalentes à `PsLoadedModuleList` et générera des événements `Image Load`. Les sections anonymes (`FileHandle = NULL`) adossées au pagefile sont simplement de la RAM partagée.

Usage courant par les malwares

L'étape de configuration de toute technique d'injection par section. Les sections anonymes + `PAGE_EXECUTE_READWRITE` alimentent Process Doppelgänging, Transacted Hollowing, Atom Bombing et l'injection `MapViewOfSection` originale. Les sections `SEC_IMAGE` ouvertes sur une DLL signée propre nourrissent les loaders de module stomping et l'empoisonnement `KnownDlls`. Process Ghosting (créé par Gabriel Landau) crée un fichier en delete-pending, construit une section `SEC_IMAGE` dessus, puis supprime le fichier avant que la section ne soit démappée — laissant en mémoire une image exécutable sans aucun artefact disque à scanner pour l'AV.

Opportunités de détection

`NtCreateSection` est trop courant en lui-même (chaque `LoadLibrary` et `CreateFileMapping` le touche) pour être alerté directement. Les signaux viennent en aval : ETW Threat Intelligence émet des événements quand une section est mappée exécutable dans un processus distant ; PE-Sieve et Moneta flaggent les régions `MappedImage` dont le fichier d'adossement a été supprimé ou remplacé ; les pilotes minifilter observent `IRP_MJ_CREATE` avec `FILE_DELETE_ON_CLOSE` suivi d'une création de section comme un motif Process Ghosting. Les sections créées avec `SEC_IMAGE` sur des fichiers non-Microsoft dans des cibles PPL sont extrêmement suspectes. Notons aussi que `SEC_NO_CHANGE` + `SEC_IMAGE` est parfois utilisé pour rendre une région résistante aux modifications `NtProtectVirtualMemory` post-mapping.

Exemples de syscalls directs

; Direct syscall stub for NtCreateSection (SSN 0x4A, stable across all Win10/11)
NtCreateSection PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 4Ah          ; SSN
    syscall
    ret
NtCreateSection ENDP

// Pagefile-backed RWX section, used as the carrier for cross-process shellcode.
HANDLE        hSection = NULL;
LARGE_INTEGER size     = { .QuadPart = 0x10000 };
NTSTATUS st = NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, &size,
                              PAGE_EXECUTE_READWRITE, SEC_COMMIT, NULL);
if (!NT_SUCCESS(st)) return st;
// hSection can now be mapped RW locally and RX remotely (see NtMapViewOfSection).

// Resolve SSN at runtime so the indirect-syscall trampoline doesn't need a build switch.
typedef NTSTATUS (NTAPI *pNtCreateSection)(PHANDLE, ACCESS_MASK,
                                           POBJECT_ATTRIBUTES, PLARGE_INTEGER,
                                           ULONG, ULONG, HANDLE);

DWORD ssn = GetSyscallNumber(GetProcAddress(GetModuleHandleA("ntdll.dll"),
                                            "NtCreateSection"));
set_ssn(ssn);
indirect_syscall_invoke(/* &hSection, ... */);

Mappings MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1055.013Process Doppelgängingmitre ↗
• T1620Reflective Code Loadingmitre ↗