NtExtendSection

Prototype

NTSTATUS NtExtendSection(
  HANDLE         SectionHandle,
  PLARGE_INTEGER NewSectionSize
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 EB 00 00 00      mov eax, 0xEB      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Étend la taille maximale committable d'un objet section. Seules les sections créées avec `SEC_RESERVE` ou les sections adossées au pagefile (`SEC_COMMIT` sans handle de fichier) sont typiquement extensibles — les sections image (`SEC_IMAGE`) ne le sont pas. La nouvelle taille ne peut excéder la taille du fichier de backing si la section était adossée à un fichier sans `SEC_RESERVE`. Le noyau arrondit la taille demandée à la page supérieure et la réécrit via `NewSectionSize`.

Usage courant par les malwares

Utilisé par les loaders de shellcode qui construisent le payload en étapes sans committer la taille finale d'emblée. Le loader crée une petite section pagefile `SEC_RESERVE`, mappe une vue, écrit la première étape, puis appelle `NtExtendSection` une fois la taille de la seconde étape connue et remappe une vue plus grande — évitant une allocation RWX précoce de toute la taille finale. Apparaît aussi dans des canaux IPC à buffer partagé entre implants coopérants à croissance dynamique. Pas un IOC fréquent en soi, mais combiné aux sections pagefile `SEC_COMMIT` et au mapping en processus distant, il forme l'ossature des loaders mémoire-uniquement qui ne touchent jamais le disque.

Opportunités de détection

Pas d'event ETW dédié. La détection passe par la combinaison `NtCreateSection` d'une section pagefile `SEC_RESERVE` suivie de `NtExtendSection` puis `NtMapViewOfSection(Ex)` avec une protection `PAGE_EXECUTE_*` dans le même processus en peu de temps. Les EDR qui hookent `NtMapViewOfSection` peuvent signaler les mappings exécutables de sections pagefile — combinaison quasi inexistante en applications légitimes hors moteurs JIT et quelques serveurs de bases de données.

Exemples de syscalls directs

// Initial 4 KiB reserve.
LARGE_INTEGER initialSize; initialSize.QuadPart = 0x1000;
HANDLE hSection;
NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, &initialSize,
                PAGE_EXECUTE_READWRITE, SEC_RESERVE, NULL);

// ... map, write stage 1 ...

// Now grow to 1 MiB to fit stage 2 + relocations.
LARGE_INTEGER newSize; newSize.QuadPart = 0x100000;
NTSTATUS s = NtExtendSection(hSection, &newSize);
// newSize.QuadPart is updated to the actual rounded value.

; NtExtendSection direct stub — SSN 0xEB on Win11 24H2
NtExtendSection PROC
    mov  r10, rcx
    mov  eax, 0EBh
    syscall
    ret
NtExtendSection ENDP

use ntapi::ntmmapi::NtExtendSection;
use winapi::shared::ntdef::{HANDLE, LARGE_INTEGER};
use std::mem;

unsafe fn extend(section: HANDLE, new_bytes: i64) -> i64 {
    let mut li: LARGE_INTEGER = mem::zeroed();
    *li.QuadPart_mut() = new_bytes;
    let s = NtExtendSection(section, &mut li);
    assert!(s >= 0);
    *li.QuadPart()
}

Mappings MITRE ATT&CK

• T1620Reflective Code Loadingmitre ↗
• T1106Native APImitre ↗