NtPrivilegeCheck

Prototype

NTSTATUS NtPrivilegeCheck(
  HANDLE         ClientToken,
  PPRIVILEGE_SET RequiredPrivileges,
  PBOOLEAN       Result
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 42 01 00 00      mov eax, 0x142
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtPrivilegeCheck est le pendant noyau d'AccessCheck : elle demande « ce token d'impersonation a-t-il actuellement ces privilèges *activés* ? ». Le PRIVILEGE_SET fourni porte un champ Control — PRIVILEGE_SET_ALL_NECESSARY exige tous les privilèges listés, sinon le noyau retourne TRUE dès qu'un seul correspond. Au retour, chaque LUID_AND_ATTRIBUTES voit SE_PRIVILEGE_USED_FOR_ACCESS positionné pour les privilèges qui ont satisfait le contrôle, ce qui alimente l'audit d'usage de privilèges. Strictement un contrôle d'activation : les privilèges présents mais désactivés comptent comme absents.

Usage courant par les malwares

Les attaquants n'appellent pas vraiment NtPrivilegeCheck à des fins offensives — elle n'accorde rien, elle ne fait que rapporter. On la voit néanmoins dans des payloads conscientes de la détection qui sondent leur propre token avant de tenter une opération privilégiée (par exemple vérifier que SeDebugPrivilege est bien activée avant d'ouvrir LSASS), afin de retomber silencieusement en cas d'échec. Évaluation honnête : c'est un syscall de services légitimes et de défenseurs ; à traiter comme signal offensif de faible confiance.

Opportunités de détection

NtPrivilegeCheck n'émet pas elle-même d'événements d'audit d'usage de privilèges (4674) — ceux-ci se déclenchent quand une opération privilégiée s'exécute réellement. L'angle le plus utile est côté EDR : hooker ntdll!NtPrivilegeCheck et corréler « le processus X a sondé plusieurs fois SeDebugPrivilege sans le détenir » (reconnaissance / découverte de capacités), ou « le processus X a sondé SeImpersonatePrivilege juste avant de forger un token ». Sur un contrôleur de domaine, des contrôles répétés sur SeBackupPrivilege/SeRestorePrivilege depuis un logiciel non-sauvegarde sont notables. Signal faible isolément ; utile en chaînes.

Exemples de syscalls directs

; Direct syscall stub for NtPrivilegeCheck (SSN 0x142 on Win11 24H2 / Server 2025)
NtPrivilegeCheck PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 142h         ; SSN for win11-24h2
    syscall
    ret
NtPrivilegeCheck ENDP

// Defensive *or* offensive recon: only proceed if the token already has SeDebug enabled.
HANDLE hThreadToken = NULL;
NtOpenThreadToken(NtCurrentThread(), TOKEN_QUERY, TRUE, &hThreadToken);
if (!hThreadToken) {
    NtOpenProcessToken(NtCurrentProcess(), TOKEN_QUERY, &hThreadToken);
    // primary token — must duplicate to impersonation before NtPrivilegeCheck
}

LUID seDebug;
LookupPrivilegeValueW(NULL, L"SeDebugPrivilege", &seDebug);

struct {
    DWORD             PrivilegeCount;
    DWORD             Control;
    LUID_AND_ATTRIBUTES Privilege[1];
} req = {
    1,
    PRIVILEGE_SET_ALL_NECESSARY,
    {{ seDebug, SE_PRIVILEGE_ENABLED }}
};

BOOLEAN granted = FALSE;
NtPrivilegeCheck(hThreadToken, (PPRIVILEGE_SET)&req, &granted);
if (granted) {
    // SeDebugPrivilege is enabled — safe to attempt PROCESS_VM_READ on LSASS
}

// Cargo: windows-sys = "0.59"  (Win32_Security)
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_privilege_check_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x142",   // Win11 24H2; resolve dynamically for other builds
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1106Native APImitre ↗
• T1033System Owner/User Discoverymitre ↗