NtDeleteFile

Prototype

NTSTATUS NtDeleteFile(
  POBJECT_ATTRIBUTES  ObjectAttributes
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 DB 00 00 00      mov eax, 0xDB
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtDeleteFile est la primitive rare de suppression par chemin : au lieu d'ouvrir un fichier avec accès `DELETE` puis d'émettre `NtSetInformationFile` avec `FileDispositionInformation`, elle fait les deux atomiquement depuis un seul argument chemin. Aucun wrapper Win32 ne l'utilise directement — `DeleteFileW` passe toujours par `NtOpenFile` + `FileDispositionInformation`, et `SHFileOperation` (depuis un contexte shell) insère encore plus de couches dont la gestion de la Corbeille. Appeler NtDeleteFile est donc une *signature* en soi : les logiciels légitimes ne l'utilisent quasiment jamais.

Usage courant par les malwares

NtDeleteFile est privilégié dans les chaînes de **suppression d'indicateurs** car elle saute à la fois `kernel32!DeleteFileW` (souvent hooké par les EDR user-mode) et la redirection Corbeille du shell. Les familles de ransomware qui essuient leurs propres droppers et logs de staging (LockBit 3.0, Conti, BlackCat/ALPHV) et les loaders s'auto-supprimant après passation à une copie persistée choisissent occasionnellement cette primitive précisément pour sa propriété de bypass. Note : `NtDeleteFile` échoue encore sur les fichiers avec handles ouverts par d'autres processus à moins qu'ils n'aient été ouverts avec `FILE_SHARE_DELETE` — pour ces cas, la saveur `Posix delete` de `FileDispositionInformationEx` est préférée.

Opportunités de détection

Comme l'usage légitime est extrêmement rare, *tout* appel à NtDeleteFile est à fort signal. Les drivers mini-filter en kernel voient les suppressions via `IRP_MJ_SET_INFORMATION` avec `FileDispositionInformation` qu'elles proviennent de NtDeleteFile ou de NtSetInformationFile — la couche IRP normalise. L'ETW `Microsoft-Windows-Kernel-File` expose un événement Delete lié au FILE_OBJECT. Les Sysmon Event 23 (FileDelete avec archivage) et Event 26 (FileDeleteDetected, sans archive) sont les principaux indicateurs host ; la capture d'archive est essentielle car le contenu du fichier disparaît immédiatement après.

Exemples de syscalls directs

; Direct syscall stub for NtDeleteFile (SSN 0xDB on Win11 24H2 — drifts per build)
NtDeleteFile PROC
    mov  r10, rcx          ; ObjectAttributes
    mov  eax, 0DBh         ; SSN
    syscall
    ret
NtDeleteFile ENDP

// Loader self-deletes its on-disk copy after persisting a clone elsewhere.
// Skips kernel32!DeleteFileW and shell Recycle Bin path.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtDeleteFile)(POBJECT_ATTRIBUTES);

NTSTATUS Vanish(LPCWSTR ntpath) {
    UNICODE_STRING us; RtlInitUnicodeString(&us, ntpath);
    OBJECT_ATTRIBUTES oa;
    InitializeObjectAttributes(&oa, &us, OBJ_CASE_INSENSITIVE, NULL, NULL);
    pNtDeleteFile fn = (pNtDeleteFile)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtDeleteFile");
    return fn(&oa);
}

// Caller: Vanish(L"\\??\\C:\\ProgramData\\loader.bin");

// Cargo: windows-sys = { version = "0.59", features = [
//   "Wdk_Foundation", "Wdk_Storage_FileSystem",
// ] }
use windows_sys::Wdk::Storage::FileSystem::NtDeleteFile;
use windows_sys::Wdk::Foundation::OBJECT_ATTRIBUTES;

unsafe fn vanish(oa: *mut OBJECT_ATTRIBUTES) -> i32 {
    NtDeleteFile(oa)
}

Mappings MITRE ATT&CK

• T1070.004Indicator Removal: File Deletionmitre ↗
• T1106Native APImitre ↗