NtLockFile

Prototype

NTSTATUS NtLockFile(
  HANDLE           FileHandle,
  HANDLE           Event,
  PIO_APC_ROUTINE  ApcRoutine,
  PVOID            ApcContext,
  PIO_STATUS_BLOCK IoStatusBlock,
  PLARGE_INTEGER   ByteOffset,
  PLARGE_INTEGER   Length,
  ULONG            Key,
  BOOLEAN          FailImmediately,
  BOOLEAN          ExclusiveLock
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 14 01 00 00      mov eax, 0x114
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Les verrous de plage d'octets sont *obligatoires* sous Windows (contrairement aux verrous consultatifs de la plupart des Unix) : un processus tiers qui tente une lecture/écriture chevauchante reçoit STATUS_FILE_LOCK_CONFLICT (ERROR_LOCK_VIOLATION 33) même s'il n'a jamais tenté de verrouiller. Les verrous sont libérés à la fermeture du handle, mais un processus tenant un handle ouvert plus un verrou exclusif 0…INT64_MAX interdit effectivement à tout autre processus de lire le contenu. Le paramètre Key permet à un même propriétaire d'empiler de nombreux verrous chevauchants et de les libérer par cookie.

Usage courant par les malwares

Deux abus distincts. (1) **Auto-verrouillage anti-analyse** : l'implant ouvre son propre fichier avec FILE_SHARE_READ retiré, puis pose un verrou exclusif sur toute la plage. Les scanners AV qui tentent de lire le fichier pour le matching de signatures statiques rencontrent ERROR_LOCK_VIOLATION ; nombre de scanners naïfs loggent et passent. Combiné à la propriété de verrouillage à l'exécution des handles FILE_EXECUTE, cela fait échouer la suppression in-place tant que le processus n'a pas quitté. (2) **Manipulation UX rançongiciel** : les chiffreurs posent un verrou exclusif sur la note de rançon pendant la phase de chiffrement pour que la victime ne puisse pas l'écarter ; une fois le chiffrement terminé, le verrou est libéré et la note devient visible/modifiable. Certains wipers verrouillent aussi le fichier de métadonnées équivalent au MFT pour retarder l'outillage de récupération.

Opportunités de détection

NtLockFile est à *gros volume* — chaque document Office, base SQLite, PST Outlook et pack Git l'utilise en permanence. Filtres utiles : des verrous tenus sur des exécutables (.exe/.dll/.scr) par le *même* processus qui a ouvert le fichier sont inhabituels hors débogueurs. ETW Microsoft-Windows-Kernel-FileIO émet FileIo/OperationEnd avec les sous-types Lock/Unlock mais est volumineux. La télémétrie la plus actionnable est le côté *échec* : un pic de réponses ERROR_LOCK_VIOLATION (33) aux scanners légitimes est un indicateur indirect qu'un binaire s'auto-verrouille. Les minifilters EDR peuvent observer IRP_MJ_LOCK_CONTROL directement et corréler avec l'image du processus verrouilleur.

Exemples de syscalls directs

// Re-open our own image without FILE_SHARE_READ, then take a whole-file
// exclusive lock. AV scanners that try to read it for static signature
// matching hit STATUS_FILE_LOCK_CONFLICT and move on.
HANDLE hSelf = CreateFileW(g_selfPath,
    GENERIC_READ, 0 /* no share */, NULL,
    OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);

IO_STATUS_BLOCK iosb;
LARGE_INTEGER off = { .QuadPart = 0 };
LARGE_INTEGER len = { .QuadPart = 0x7FFFFFFFFFFFFFFFLL };

NtLockFile(hSelf, NULL, NULL, NULL, &iosb,
           &off, &len, 0,
           TRUE,    // FailImmediately
           TRUE);   // ExclusiveLock

NtLockFile PROC
    mov  r10, rcx
    mov  eax, 114h
    syscall
    ret
NtLockFile ENDP

// Cargo: ntapi = "0.4", windows-sys = "0.59"
// Hold an exclusive lock on the note while we burn through the file tree.
unsafe {
    let off: i64 = 0;
    let len: i64 = i64::MAX;
    let mut iosb = zeroed();
    let st = NtLockFile(h_note,
        null_mut(), None, null_mut(),
        &mut iosb,
        &off as *const _ as _, &len as *const _ as _,
        0,
        1,  // FailImmediately
        1); // ExclusiveLock
    assert!(st == 0);
}
// ...encrypt files...
unsafe { NtUnlockFile(h_note, &mut iosb, &off as *const _ as _, &len as *const _ as _, 0); }

Mappings MITRE ATT&CK

• T1497Virtualization/Sandbox Evasionmitre ↗
• T1486Data Encrypted for Impactmitre ↗
• T1106Native APImitre ↗