NtOpenProcess

Prototype

NTSTATUS NtOpenProcess(
  PHANDLE            ProcessHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  PCLIENT_ID         ClientId
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 26 00 00 00      mov eax, 0x26
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

L'ouverture par PID est la voie empruntée par presque tout code userland — `ObjectName` est typiquement NULL et `ClientId.UniqueProcess` porte le PID cible. Le SSN `0x26` est stable sur chaque build Win10/11 livré. Le `OpenProcess` Win32 est un mince wrapper qui remplit `OBJECT_ATTRIBUTES` et `CLIENT_ID` avant d'appeler cette fonction. L'accès est filtré par le SecurityDescriptor de la cible et tout callback d'objet enregistré ; les processus PPL/PP (`lsass.exe` avec Credential Guard, MsMpEng.exe) rejettent tout sauf `PROCESS_QUERY_LIMITED_INFORMATION` quel que soit le privilège.

Usage courant par les malwares

La première étape de quasiment toute attaque inter-processus : obtenir un handle avec les droits nécessaires à la suite. `PROCESS_VM_READ` pour le dump LSASS, `PROCESS_VM_WRITE | PROCESS_VM_OPERATION | PROCESS_CREATE_THREAD` pour l'injection classique, `PROCESS_DUP_HANDLE` pour le vol de token. L'outillage moderne ouvre désormais avec le masque minimum requis (`0x1010` pour un accès LSASS en lecture seule) plutôt que `PROCESS_ALL_ACCESS` (`0x1FFFFF`) afin d'échapper aux règles EDR qui se basent sur le masque complet.

Opportunités de détection

Sysmon Event ID 10 (`ProcessAccess`) est la télémétrie canonique — chaque `NtOpenProcess` produisant un handle vers un autre processus génère cet événement avec `SourceProcessGUID`, `TargetProcessGUID`, `GrantedAccess` et une pile d'appels. Les défenseurs filtrent les masques courts bruyants et alertent sur les combinaisons dangereuses visant `lsass.exe`, `MsMpEng.exe`, navigateurs, etc. Côté noyau, `ObRegisterCallbacks` permet aux pilotes (et EDR) protégeant les PPL de retirer des droits ou d'opposer un veto avant le retour du handle — c'est le mécanisme derrière la protection PPL de LSASS. Les syscalls directs ne contournent pas les object callbacks.

Exemples de syscalls directs

; Direct syscall stub for NtOpenProcess (SSN 0x26, stable across all Win10/11)
NtOpenProcess PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 26h          ; SSN
    syscall
    ret
NtOpenProcess ENDP

// Minimal-rights LSASS open used by nanodump and lsassy to evade GrantedAccess rules.
OBJECT_ATTRIBUTES oa;
CLIENT_ID         cid = { (HANDLE)(ULONG_PTR)lsass_pid, NULL };
InitializeObjectAttributes(&oa, NULL, 0, NULL, NULL);

HANDLE hLsass = NULL;
// PROCESS_QUERY_INFORMATION | PROCESS_VM_READ == 0x1010
NTSTATUS st = NtOpenProcess(&hLsass, 0x1010, &oa, &cid);
if (!NT_SUCCESS(st)) return st;

// Resolve SSN at runtime; useful when ntdll.dll is hooked.
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_open_process_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x26",   // stable across all Win10/11 builds
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1057Process Discoverymitre ↗
• T1003.001OS Credential Dumping: LSASS Memorymitre ↗
• T1055Process Injectionmitre ↗
• T1134Access Token Manipulationmitre ↗