NtQueryEaFile

Prototype

NTSTATUS NtQueryEaFile(
  HANDLE           FileHandle,
  PIO_STATUS_BLOCK IoStatusBlock,
  PVOID            Buffer,
  ULONG            Length,
  BOOLEAN          ReturnSingleEntry,
  PVOID            EaList,
  ULONG            EaListLength,
  PULONG           EaIndex,
  BOOLEAN          RestartScan
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 50 01 00 00      mov eax, 0x150     ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Contrepartie de `NtSetEaFile`. Avec 9 arguments, dont deux passés sur la pile en x64, c'est l'un des syscalls fichier les plus lourds — les appelants l'enveloppent généralement dans un petit helper qui passe `NULL/0/NULL/FALSE` pour le trio filtre/index/restart optionnel quand on veut "tout récupérer". Le noyau retourne `STATUS_NO_EAS_ON_FILE` pour les fichiers sans flux EA et `STATUS_NONEXISTENT_EA_ENTRY` pour une recherche nommée manquante — deux oracles négatifs utiles pour sonder.

Usage courant par les malwares

Côté lecture du pattern de furtivité EA : un implant ayant précédemment caché configuration ou shellcode via `NtSetEaFile` le recharge ensuite avec `NtQueryEaFile`. Nommer l'EA explicitement via le paramètre `EaList` est préférable à une énumération complète car cela laisse une empreinte télémétrique plus faible et évite de déclencher les scanners qui parcourent chaque EA. Certains loaders utilisent aussi le chemin EA comme canal latéral d'intégrité — la présence du payload et sa taille exacte servent de détecteur d'altération avant déchiffrement.

Opportunités de détection

`NtQueryEaFile` en soi est bénin — l'OS lui-même l'appelle sur les partages de profils itinérants et chaque fois que les EA de permissions WSL/Cygwin sont lus. Le signal est dans le *pattern* : un processus qui ouvre un fichier non-WSL avec FILE_READ_EA et qui déchiffre/saute immédiatement dans le blob retourné. L'événement ETW Microsoft-Windows-Kernel-File `FileQueryEa`, couplé à un VirtualProtect→RX subséquent sur une région récemment écrite depuis ce buffer, est la corrélation à haute fidélité. Les requêtes EA isolées depuis `svchost.exe`, `lsass.exe` ou tout binaire Microsoft signé contre un fichier accessible en écriture par l'utilisateur méritent d'être remontées.

Exemples de syscalls directs

// Fetch only the 'CONFIG.BIN' EA — avoids a noisy full enumeration.
HANDLE h = CreateFileW(L"C:\\ProgramData\\update.dat", FILE_READ_EA, FILE_SHARE_READ,
                       NULL, OPEN_EXISTING, 0, NULL);

struct {
    ULONG  NextEntryOffset;
    UCHAR  EaNameLength;
    CHAR   EaName[12];   // "CONFIG.BIN\0" + padding
} eaList = { 0, 10, "CONFIG.BIN\0" };

BYTE out[4096];
IO_STATUS_BLOCK iosb;
NTSTATUS st = NtQueryEaFile(h, &iosb, out, sizeof(out),
                            TRUE,                  // single entry
                            &eaList, sizeof(eaList),
                            NULL,                  // no index
                            TRUE);                 // restart scan
if (NT_SUCCESS(st)) {
    PFILE_FULL_EA_INFORMATION ea = (PFILE_FULL_EA_INFORMATION)out;
    decrypt_and_run(ea->EaName + ea->EaNameLength + 1, ea->EaValueLength);
}

; NtQueryEaFile direct syscall (Win11 24H2 SSN 0x150)
NtQueryEaFile PROC
    mov  r10, rcx
    mov  eax, 150h
    syscall
    ret
NtQueryEaFile ENDP

// Cargo: windows-sys = "0.59"
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::System::LibraryLoader::*;

type NtQueryEaFileFn = unsafe extern "system" fn(
    HANDLE, *mut u8, *mut u8, u32, u8, *const u8, u32, *mut u32, u8,
) -> i32;

unsafe fn dump_eas(h: HANDLE) -> Vec<(String, Vec<u8>)> {
    let nt = GetModuleHandleA(b"ntdll.dll\0".as_ptr());
    let f: NtQueryEaFileFn = std::mem::transmute(
        GetProcAddress(nt, b"NtQueryEaFile\0".as_ptr()).unwrap()
    );
    let mut buf = vec![0u8; 0x10000];
    let mut iosb = [0u8; 16];
    let st = f(h, iosb.as_mut_ptr(), buf.as_mut_ptr(), buf.len() as u32,
               0, std::ptr::null(), 0, std::ptr::null_mut(), 1);
    if st < 0 { return vec![]; }
    // Walk NextEntryOffset chain ... (omitted for brevity)
    Vec::new()
}

Mappings MITRE ATT&CK

• T1564.004Hide Artifacts: NTFS File Attributesmitre ↗
• T1564Hide Artifactsmitre ↗
• T1106Native APImitre ↗