NtMakeTemporaryObject

Prototype

NTSTATUS NtMakeTemporaryObject(
  HANDLE Handle
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 19 01 00 00      mov eax, 0x119
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Pendant strict de `NtMakePermanentObject` : appelle `ObSetPermanentObject(object, FALSE)` et lâche la référence supplémentaire qu'Ob retenait pour garder l'objet vivant au-delà du handle-count zéro. L'accès requis sur le handle est `DELETE`. Ne *requiert pas* `SeCreatePermanentPrivilege` — reconvertir un objet permanent en temporaire est asymétrique en ce sens. Une fois retiré, le noyau vérifie s'il reste des handles ou références ; sinon, l'objet entre immédiatement dans la file de suppression différée. Surtout utilisé par les chemins d'arrêt de service (ex. csrss démontant les objets nommés de portée session) et par Win32 lui-même quand `CloseHandle` est la dernière opération sur ce qui était à l'origine un objet `OBJ_PERMANENT` créé par un processus désormais sorti.

Usage courant par les malwares

Faible signal malware. Deux apparitions à noter : (1) **utilitaires de cleanup forensic / EDR** l'appellent pour recycler les objets permanents rogue laissés par des payloads précédents — `WinObj` lui-même utilise ce chemin quand on clique droit sur un objet permanent et qu'on choisit Make Temporary, puis Close. (2) Certains designs d'implant l'utilisent défensivement pour *détruire* leurs propres objets de staging avant la sortie, refusant au défenseur la chance de les dumper post-mortem — ex. une section permanente a servi à passer un payload à un helper d'intégrité supérieure, le helper l'a consommé, puis l'implant émet `NtMakeTemporaryObject` suivi de `NtClose` pour s'assurer qu'aucun résidu ne reste dans `\BaseNamedObjects`. L'appel est par ailleurs inerte.

Opportunités de détection

Aucun événement ETW dédié. Examiner les *conséquences* — disparition des objets nommés attendus dans `\BaseNamedObjects` — est plus pratique qu'alerter sur ce syscall. Corréler les événements de fermeture de handle d'objet noyau avec le nommage d'objet pour repérer les objets nommés qui disparaissent avant que leur service propriétaire ne soit censé s'arrêter. La paire `NtMakePermanentObject` (ou création avec `OBJ_PERMANENT`) suivie de `NtMakeTemporaryObject` depuis le même processus dans une courte fenêtre est le pattern canonique de stage-IPC-puis-wipe.

Exemples de syscalls directs

; Direct syscall stub for NtMakeTemporaryObject (SSN 0x119 on Win11 24H2 / Server 2025)
NtMakeTemporaryObject PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 119h         ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtMakeTemporaryObject ENDP

// Cleanup pattern: open a permanent named event/section/mutex with DELETE
// access, strip OBJ_PERMANENT, then drop our handle so it's freed.
UNICODE_STRING name; RtlInitUnicodeString(&name, L"\\BaseNamedObjects\\Global\\__rogue__");
OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);
HANDLE h;
if (NT_SUCCESS(NtOpenEvent(&h, DELETE, &oa))) {
    NtMakeTemporaryObject(h);   // clear OBJ_PERMANENT
    NtClose(h);                  // last close -> object freed
}

Mappings MITRE ATT&CK

• T1106Native APImitre ↗
• T1070Indicator Removalmitre ↗