NtPrivilegedServiceAuditAlarm

Prototype

NTSTATUS NtPrivilegedServiceAuditAlarm(
  PUNICODE_STRING SubsystemName,
  PUNICODE_STRING ServiceName,
  HANDLE          ClientToken,
  PPRIVILEGE_SET  Privileges,
  BOOLEAN         AccessGranted
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 44 01 00 00      mov eax, 0x144
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Pendant de NtPrivilegeObjectAuditAlarm — même forme, mais pour les opérations privilégiées de niveau service (pas de handle objet). Génère l'événement Sécurité 4673 (« Un service privilégié a été appelé »). Schéma d'appelant canonique : un composant en mode service (ex. le Service Control Manager chargeant un pilote kernel via SeLoadDriverPrivilege, ou le sous-système Plug and Play invoquant SeUndockPrivilege) veut faire enregistrer l'action sous sa propre identité de service. L'événement 4673 inclut le nom de service fourni ici, les privilèges exercés et le SID utilisateur du jeton client.

Usage courant par les malwares

Pratiquement nul dans les malwares grand public. La raison d'être même du syscall est de laisser une trace, à l'inverse de l'objectif de l'opérateur malveillant. Les rares observations en environnement réel concernent des composants signés MS faisant leur travail normal. Des outils comme Mimikatz qui manient SeDebugPrivilege n'appellent jamais ce syscall — ils exercent le privilège silencieusement parce que l'Object Manager n'audite pas automatiquement l'usage de privilèges.

Opportunités de détection

Le volume d'événements 4673 sur un poste sain est dominé par un petit ensemble d'opérations légitimes (chargements de pilotes, exécutions de tâches planifiées en SYSTEM, démarrages de fournisseurs WMI). Les défenseurs devraient établir un baseline des 4673 par (ServiceName, PrivilegeList, ClientUserSid) et alerter sur les tuples inédits. Note : l'*absence* de 4673 autour d'un usage de SeLoadDriverPrivilege (vérifiable via l'événement 7045 du SCM) est bien plus intéressante que sa présence — elle signale soit un chargement de pilote non-SCM (T1547.006), soit une altération du journal d'audit (T1562.002). Defender for Endpoint expose une télémétrie équivalente via les tables DeviceProcessEvents et DeviceEvents.

Exemples de syscalls directs

; Direct syscall stub for NtPrivilegedServiceAuditAlarm (SSN 0x144, Win11 24H2)
NtPrivilegedServiceAuditAlarm PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 144h         ; SSN
    syscall
    ret
NtPrivilegedServiceAuditAlarm ENDP

// A backup component holding SeBackupPrivilege wants to explicitly record
// a 4673 every time it begins a privileged enumeration pass.

LUID seBackupLuid;
LookupPrivilegeValueW(NULL, SE_BACKUP_NAME, &seBackupLuid);

struct {
    PRIVILEGE_SET ps;
} pset = {
    .ps = { .PrivilegeCount = 1, .Control = PRIVILEGE_SET_ALL_NECESSARY,
            .Privilege = {{ .Luid = seBackupLuid, .Attributes = SE_PRIVILEGE_USED_FOR_ACCESS }} }
};

UNICODE_STRING sub = RTL_CONSTANT_STRING(L"Security");
UNICODE_STRING svc = RTL_CONSTANT_STRING(L"ContosoBackupService");

NTSTATUS s = NtPrivilegedServiceAuditAlarm(
    &sub, &svc,
    hClientToken,
    &pset.ps,
    TRUE);   // success

// Resulting Security event 4673 records:
//   Subject  : NT AUTHORITY\SYSTEM (the service)
//   Service  : ContosoBackupService
//   Privilege: SeBackupPrivilege

use windows_sys::Win32::Security::Authorization::PrivilegedServiceAuditAlarmW;
use windows_sys::Win32::Security::*;

unsafe {
    let ok = PrivilegedServiceAuditAlarmW(
        windows_sys::w!("Security"),
        windows_sys::w!("ContosoBackupService"),
        client_token,
        &priv_set as *const _ as *mut _,
        1, // access_granted
    );
    // ok != 0 -> Security 4673 emitted (subject to "Audit Privilege Use" policy).
}

Mappings MITRE ATT&CK

• T1562.002Impair Defenses: Disable Windows Event Loggingmitre ↗
• T1547.006Boot or Logon Autostart Execution: Kernel Modules and Extensionsmitre ↗