NtOpenProcessTokenEx

Prototype

NTSTATUS NtOpenProcessTokenEx(
  HANDLE       ProcessHandle,
  ACCESS_MASK  DesiredAccess,
  ULONG        HandleAttributes,
  PHANDLE      TokenHandle
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 30 00 00 00      mov eax, 0x30
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtOpenProcessTokenEx est la primitive canonique réellement invoquée par `kernel32!OpenProcessToken` — `NtOpenProcessToken` n'est qu'un wrapper conservé pour la compatibilité source avec NT 3.x. Contrairement à la forme héritée, son SSN est **resté stable à `0x30`** de Windows 10 1507 à Windows 11 24H2, ce qui en fait une cible privilégiée pour les loaders à SSN codés en dur et les stubs SysWhispers. Le paramètre supplémentaire `HandleAttributes` permet de demander des handles héritables (`OBJ_INHERIT`) — utile pour des processus enfants à parent PID spoofé qui doivent hériter du jeton.

Usage courant par les malwares

Même rôle que NtOpenProcessToken dans les chaînes de vol de jeton, mais préféré des loaders modernes pour son SSN stable. Le BOF `steal_token` de Cobalt Strike et le module `getsystem` de Sliver y passent. JuicyPotato / RoguePotato / PrintSpoofer négocient d'abord un jeton SYSTEM via la coercition RPC, puis appellent NtOpenProcessTokenEx sur le processus engendré pour obtenir un handle duplicable, puis NtDuplicateToken + CreateProcessWithTokenW pour lancer un cmd.exe en contexte SYSTEM. La famille de bypass UAC Make-Me-Admin l'utilise pour cloner le jumeau élevé du jeton IL moyen.

Opportunités de détection

Surface de détection identique à NtOpenProcessToken : 4672 (Special Privileges Assigned, SeDebugPrivilege), 4663 (object access sur Token), 4673 (Sensitive Privilege Use). Spécifiquement pour LSASS, RunAsPPL force l'appel à échouer avec STATUS_ACCESS_DENIED à moins que l'appelant soit lui aussi PPL — un événement d'échec à fort signal. L'ETW `Microsoft-Windows-Kernel-Audit-API-Calls` émet `PsOpenProcessToken` quelle que soit la variante Nt appelée. Les EDR hookent couramment cette fonction dans ntdll ; les syscalls directs contournent ce hook mais l'audit object-access côté noyau subsiste.

Exemples de syscalls directs

; SSN 0x30 stable across Win10 1507 -> Win11 24H2.
NtOpenProcessTokenEx PROC
    mov  r10, rcx          ; ProcessHandle
    mov  eax, 30h          ; SSN
    syscall
    ret
NtOpenProcessTokenEx ENDP

// Locate the elevated split-token sibling of the current medium-IL process
// and ask for TOKEN_DUPLICATE so we can spawn a high-IL process with it.
HANDLE hElev = NULL, hTok = NULL;
// hElev = handle to a high-IL svchost / consent.exe we previously opened
NTSTATUS s = NtOpenProcessTokenEx(
    hElev,
    TOKEN_DUPLICATE | TOKEN_QUERY | TOKEN_ASSIGN_PRIMARY,
    0,                       // HandleAttributes
    &hTok);
if (NT_SUCCESS(s)) {
    // Next: NtDuplicateToken(... TokenPrimary ...) -> CreateProcessWithTokenW
}

use std::arch::asm;
use windows_sys::Win32::Foundation::HANDLE;

#[unsafe(naked)]
pub unsafe extern "system" fn nt_open_process_token_ex(
    _process: HANDLE,
    _desired: u32,
    _handle_attrs: u32,
    _token_out: *mut HANDLE,
) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x30",
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1134Access Token Manipulationmitre ↗
• T1134.001Token Impersonation/Theftmitre ↗
• T1134.002Create Process with Tokenmitre ↗
• T1548.002Bypass User Account Controlmitre ↗