NtDeleteObjectAuditAlarm

Prototype

NTSTATUS NtDeleteObjectAuditAlarm(
  PUNICODE_STRING SubsystemName,
  PVOID           HandleId,
  BOOLEAN         GenerateOnClose
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 DD 00 00 00      mov eax, 0xDD
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Génère l'événement Sécurité 4660 (« Un objet a été supprimé »). Le sous-système audité invoque ce syscall après une suppression réussie sur un objet sous SACL, afin que le journal Sécurité porte un enregistrement de suppression explicite (la paire ouverture/fermeture ne distingue pas une fermeture normale d'une suppression). 4660 est l'événement canonique que les répondeurs d'incident corrèlent avec 4663 (droit DELETE exercé) et 4656 (ouverture avec DELETE) sur le même HandleId pour reconstruire complètement l'activité destructrice d'un attaquant. SSN `0xDD` sur Win11 24H2 (et valeurs correspondantes sur builds antérieures — c'est l'un des rares syscalls audit-alarm dont le SSN dérive parce qu'il se trie alphabétiquement parmi le groupe renuméroté).

Usage courant par les malwares

Aucun observé dans le malware grand public. Les opérations destructrices des ransomwares/wipers (Conti, Royal, AcidRain) n'appellent jamais NtDeleteObjectAuditAlarm — ils appellent NtSetInformationFile avec FileDispositionInformation, ou NtDeleteFile, directement, laissant l'Object Manager appliquer la SACL ou non. Le déclenchement ou non de 4660 dépend entièrement de l'usage du *chemin sous-système audité* ; contourner le wrapper Win32 signifie pas de 4660. C'est précisément pourquoi les défenseurs ne devraient pas se fier uniquement à 4660 pour la détection de ransomware — la télémétrie mini-filter (provider ETW FltMgr, hooks EDR sur écritures fichier) est plus fiable.

Opportunités de détection

L'événement 4660 doit être apparié avec un 4663 (accès DELETE accordé) et un 4656 précédent partageant le même HandleId pour reconstruire qui a supprimé quoi. Sur les magasins de shadow copies sous SACL, les ruches registre sous HKLM\SECURITY et les clés de configuration Defender, les pics de 4660 sont des indicateurs directs de ransomware. L'absence de 4660 en présence de suppressions massives de fichiers (observables via Sysmon Event ID 23) implique que le chemin de suppression a contourné le sous-système audit-alarm — en soi un fort signal d'acteur sophistiqué (T1070.004).

Exemples de syscalls directs

; Direct syscall stub for NtDeleteObjectAuditAlarm (SSN 0xDD, Win11 24H2)
NtDeleteObjectAuditAlarm PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0DDh         ; SSN
    syscall
    ret
NtDeleteObjectAuditAlarm ENDP

// Service holding the handle has just performed a privileged delete via
// NtSetInformationFile(FileDispositionInformation). Now record the 4660.
UNICODE_STRING sub = RTL_CONSTANT_STRING(L"Security");

NTSTATUS s = NtDeleteObjectAuditAlarm(
    &sub,
    (PVOID)hHandleId,   // same value used in the matching NtAccessCheck*AuditAlarm call
    TRUE);              // matches the GenerateOnClose flag returned earlier

// Resulting Security event 4660 carries object DN/path and the deleting subject.
NtClose(hFile);

use windows_sys::Win32::Security::Authorization::ObjectDeleteAuditAlarmW;

unsafe {
    let ok = ObjectDeleteAuditAlarmW(
        windows_sys::w!("Security"),
        handle_id as *mut _,
        gen_on_close as i32,
    );
    // ok != 0 -> 4660 emitted (subject to "Audit Object Access" policy).
}

Mappings MITRE ATT&CK

• T1562.002Impair Defenses: Disable Windows Event Loggingmitre ↗
• T1070.004Indicator Removal: File Deletionmitre ↗