NtFlushVirtualMemory

Prototype

NTSTATUS NtFlushVirtualMemory(
  HANDLE           ProcessHandle,
  PVOID           *BaseAddress,
  PSIZE_T          RegionSize,
  PIO_STATUS_BLOCK IoStatus
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 F4 00 00 00      mov eax, 0xF4      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Pendant de `FlushViewOfFile` pour les sections adossées à un vrai fichier disque. Le noyau parcourt les PTE sur la plage demandée, collecte les pages dirty et émet des I/O de paging vers le système de fichiers sous-jacent — pour un fichier memory-mapped, c'est l'équivalent d'un `fsync` du seul sous-ensemble modifié. Pour les régions adossées au pagefile ou PAGE_NOACCESS, l'appel est en fait un no-op. Le champ `IoStatus.Information` reporte le nombre d'octets effectivement écrits.

Usage courant par les malwares

Utilisé dans les chaînes de persistance et de ransomware qui modifient des artefacts sur disque via une vue memory-mapped plutôt que `WriteFile` : l'attaquant mappe un exécutable, un INI, un XML de tâche planifiée ou la liste des LSA Notification Packages en `PAGE_READWRITE`, patche les octets et appelle `NtFlushVirtualMemory` pour forcer l'écriture *maintenant* au lieu d'attendre le lazy writer — important quand l'étape suivante (reboot, redémarrage de service, exec immédiat) doit voir la modif sur disque. Aussi vu dans des chaînes de credential-theft style `MiniDumpWriteDump` qui mappent et éditent le fichier de dump in-place. Certaines familles de ransomware appellent ce syscall pour s'assurer que les octets chiffrés atteignent les plateaux avant de supprimer les shadow copies et de forcer un reboot.

Opportunités de détection

Sysmon Event 11 (FileCreate) ne se déclenche pas sur un flush — le fichier existe déjà. La télémétrie la plus fiable est l'event ETW `Microsoft-Windows-Kernel-FileIO` `FileIo/OperationEnd` pour les opérations `WRITE` dont les `IrpFlags` indiquent du paging-IO, corrélée à un processus qui a récemment obtenu une section accessible en écriture sur un fichier sensible (exécutable de `\System32`, XML de tâche planifiée, binaire référencé par `ImagePath` dans `\Registry\Machine\System\CurrentControlSet\Services\*`). Les EDR qui hookent `NtCreateSection` contre les chemins à forte valeur puis suivent les `NtFlushVirtualMemory` subséquents contre ces vues attrapent le pattern de patch in-place.

Exemples de syscalls directs

// Persistence helper: patch C:\Windows\System32\target.exe in place.
HANDLE hFile = CreateFileW(L"C:\\Windows\\System32\\target.exe",
    GENERIC_READ | GENERIC_WRITE, FILE_SHARE_READ,
    NULL, OPEN_EXISTING, 0, NULL);

HANDLE hMap = CreateFileMappingW(hFile, NULL, PAGE_READWRITE, 0, 0, NULL);
PVOID  view = MapViewOfFile(hMap, FILE_MAP_WRITE, 0, 0, 0);

PatchEntryPoint(view);  // overwrite a few bytes

SIZE_T regionSize = /* SizeOfImage rounded up */ 0;
IO_STATUS_BLOCK iosb;
NTSTATUS s = NtFlushVirtualMemory(
    NtCurrentProcess(),
    &view,
    &regionSize,
    &iosb);
// iosb.Information now holds the number of bytes written back.

; NtFlushVirtualMemory direct stub — SSN 0xF4 on Win11 24H2
NtFlushVirtualMemory PROC
    mov  r10, rcx
    mov  eax, 0F4h
    syscall
    ret
NtFlushVirtualMemory ENDP

use ntapi::ntmmapi::NtFlushVirtualMemory;
use winapi::shared::ntdef::HANDLE;
use winapi::shared::ntdef::PVOID;
use winapi::um::winnt::IO_STATUS_BLOCK;
use std::{mem, ptr::null_mut};

unsafe fn flush(view: PVOID, mut size: usize) -> usize {
    let mut base = view;
    let mut iosb: IO_STATUS_BLOCK = mem::zeroed();
    let s = NtFlushVirtualMemory(
        -1isize as HANDLE,
        &mut base,
        &mut size,
        &mut iosb,
    );
    assert!(s >= 0);
    *iosb.Information() as usize
}

Mappings MITRE ATT&CK

• T1547Boot or Logon Autostart Executionmitre ↗
• T1027Obfuscated Files or Informationmitre ↗
• T1106Native APImitre ↗