NtFreeVirtualMemory

Prototype

NTSTATUS NtFreeVirtualMemory(
  HANDLE  ProcessHandle,
  PVOID  *BaseAddress,
  PSIZE_T RegionSize,
  ULONG   FreeType
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 1E 00 00 00      mov eax, 0x1E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtFreeVirtualMemory garde le SSN `0x1E` sur tous les builds Windows 10 / 11 / Server observés. C'est la paire naturelle de NtAllocateVirtualMemory et passe par MmFreeVirtualMemory. MEM_DECOMMIT conserve la réservation VAD mais libère les pages physiques ; MEM_RELEASE détruit la réservation entière (et exige RegionSize == 0 et BaseAddress correspondant à la base d'allocation d'origine).

Usage courant par les malwares

Utilisé à la *fin* du cycle de vie du payload plutôt qu'au début — effacer le shellcode après exécution pour qu'un scan mémoire ultérieur trouve des pages à zéro ou non mappées. Technique popularisée par les contre-mesures façon `Hunt-Sleeping-Beacons` : plutôt que de laisser des pages RWX bourrées de code beacon reconnaissable durant de longs sleeps, les loaders modernes allouent, exécutent, puis NtFreeVirtualMemory la région (ou NtProtectVirtualMemory vers PAGE_NOACCESS, chiffrement, et reprotection au réveil). Aussi utilisé par les implémentations de hollowing pour libérer le mapping d'image d'origine ancré dans le PEB avant de remapper une image malveillante.

Opportunités de détection

Les appels isolés sont extrêmement bruyants. Patterns intéressants : séquences courtes MEM_COMMIT|EXECUTE → exécution → MEM_RELEASE (visibles via les événements ETW Threat Intelligence Memory sur Win10 2004+) et frees ciblant des régions dont le VAD montre des changements récents vers PAGE_EXECUTE_READWRITE. Un free de la base d'image d'origine dans un processus dont l'image de démarrage diffère de l'image sur disque est un fort indicateur de process hollowing.

Exemples de syscalls directs

; Direct syscall stub for NtFreeVirtualMemory (SSN 0x1E, all builds)
NtFreeVirtualMemory PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1Eh          ; SSN
    syscall
    ret
NtFreeVirtualMemory ENDP

// Allocate, run, then free — defeats post-mortem memory scans.
PVOID  base = NULL;
SIZE_T size = shellcode_len;
NtAllocateVirtualMemory(NtCurrentProcess(), &base, 0, &size,
                        MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
memcpy(base, shellcode, shellcode_len);

ULONG old;
NtProtectVirtualMemory(NtCurrentProcess(), &base, &size,
                       PAGE_EXECUTE_READ, &old);
((void(*)(void))base)();

// Zero before unmap to defeat free-list residue grabs.
RtlSecureZeroMemory(base, shellcode_len);
SIZE_T zero = 0;
NtFreeVirtualMemory(NtCurrentProcess(), &base, &zero, MEM_RELEASE);

// Cargo: ntapi = "0.4", windows-sys = "0.59"
use ntapi::ntmmapi::NtFreeVirtualMemory;
use windows_sys::Win32::System::Memory::MEM_RELEASE;

pub struct VirtualRegion { base: *mut core::ffi::c_void, len: usize }

impl Drop for VirtualRegion {
    fn drop(&mut self) {
        let mut base = self.base;
        let mut len: usize = 0; // MEM_RELEASE requires 0
        unsafe {
            NtFreeVirtualMemory(-1isize as _, &mut base, &mut len, MEM_RELEASE);
        }
    }
}

Mappings MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1027.009Obfuscated Files or Information: Embedded Payloadsmitre ↗
• T1106Native APImitre ↗