NtOpenPartition

Prototype

NTSTATUS NtOpenPartition(
  PHANDLE            PartitionHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1                  mov r10, rcx
B8 31 01 00 00            mov eax, 0x131
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Notes non documentées

Pendant `Open` de `NtCreatePartition`. La résolution est purement object-manager : la partition doit déjà exister sous son chemin de namespace (couramment `\KernelObjects\…`) et le token appelant doit satisfaire le descripteur de sécurité de la partition pour les droits demandés. Contrairement à `NtCreatePartition`, ouvrir une partition pour query/inspection ne requiert pas `SeLockMemoryPrivilege` — seuls les chemins modify/attach le font. La résolution dynamique du syscall est triviale via Hell's Gate car le SSN dérive de façon prévisible.

Usage courant par les malwares

Pratiquement aucun abus direct dans le malware commodity. Un défenseur ou chercheur pourrait l'appeler pour introspecter les partitions de containers Hyper-V sur un hôte, et un implant sophistiqué pourrait *théoriquement* utiliser une partition créée par l'utilisateur préexistante pour héberger ses allocations et polluer les compteurs de working-set vus par l'EDR de l'hôte — mais le gain par rapport à un simple `NtAllocateVirtualMemory` est négligeable relativement au coût en privilèges.

Opportunités de détection

Couplez avec le signal `NtCreatePartition` : ouvrir une partition nommée que l'opérateur n'a pas créée lui-même est anormal en dehors de vmcompute/vmwp/SystemSettings. L'évènement 9 (`PartitionOpened`) du provider ETW `Microsoft-Windows-Kernel-Memory` porte l'image appelante et le nom de l'objet partition. La plupart des environnements de production auront ici une liste blanche vide.

Exemples de syscalls directs

#include <windows.h>
#include <winternl.h>

#define MEMORY_PARTITION_QUERY_ACCESS  0x0001

typedef NTSTATUS (NTAPI* pNtOpenPartition)(
    PHANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES);

HANDLE open_partition(LPCWSTR name) {
    UNICODE_STRING us;
    RtlInitUnicodeString(&us, name);
    OBJECT_ATTRIBUTES oa;
    InitializeObjectAttributes(&oa, &us, OBJ_CASE_INSENSITIVE, NULL, NULL);

    pNtOpenPartition f = (pNtOpenPartition)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtOpenPartition");

    HANDLE h = NULL;
    f(&h, MEMORY_PARTITION_QUERY_ACCESS, &oa);
    return h;
}

NtOpenPartition PROC
    mov  r10, rcx
    mov  eax, 131h
    syscall
    ret
NtOpenPartition ENDP

Mappings MITRE ATT&CK

• T1106Native APImitre ↗