NtQueryInformationProcess

Prototype

NTSTATUS NtQueryInformationProcess(
  HANDLE           ProcessHandle,
  PROCESSINFOCLASS ProcessInformationClass,
  PVOID            ProcessInformation,
  ULONG            ProcessInformationLength,
  PULONG           ReturnLength
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 19 00 00 00      mov eax, 0x19
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtQueryInformationProcess est l'un des syscalls les plus surchargés de Windows : plus de 100 valeurs PROCESSINFOCLASS sont définies dans les builds modernes, de l'inoffensif (ProcessTimes=4, ProcessHandleCount=20) au profondément lié à la sécurité (ProcessDebugPort=7, ProcessDebugObjectHandle=30, ProcessDebugFlags=31, ProcessMitigationPolicy=52, ProcessProtectionInformation=61, ProcessImageFileName=27). Le SSN lui-même est inébranlable à 0x19 depuis Windows 10 1507 — Microsoft a soigneusement préservé ce slot car énormément de code in-tree et tiers l'appelle. L'espace des numéros de classes, en revanche, évolue fréquemment ; des valeurs ajoutées en 24H2 sont absentes en 1809 et renverront STATUS_INVALID_INFO_CLASS sur des noyaux plus anciens.

Usage courant par les malwares

La primitive anti-debug la plus appelée de Windows. ProcessDebugPort (7) renvoie un handle non nul lorsqu'un debugger user-mode est attaché — utilisé par les remplaçants NTDLL d'IsDebuggerPresent et la plupart des protectors commerciaux (VMProtect, Themida, Enigma). ProcessDebugObjectHandle (30) renvoie directement le DebugObject — nécessaire car les analystes expérimentés annulent le DebugPort legacy. ProcessDebugFlags (31) renvoie l'inverse de NoDebugInherit ; lire 0 signifie qu'un debugger a été attaché à un moment. Combiné : un motif de trois NtQueryInformationProcess successifs avec les classes 7, 30, 31 sur NtCurrentProcess() est une signature anti-debug quasi certaine. Les loaders utilisent aussi ProcessBasicInformation (0) pour obtenir le PEB et parcourir les modules chargés sans toucher l'évident LdrEnumerateLoadedModules ; ProcessImageFileName (27) sert aux vérifications de noms de sandbox/émulateur.

Opportunités de détection

Le volume est énorme — ce syscall se déclenche constamment en fonctionnement normal, donc les comptages bruts sont inutiles. La différenciation vient de (a) la classe utilisée, (b) le handle cible (soi vs. distant), et (c) la séquence d'appels. ETW Microsoft-Windows-Kernel-Audit-API-Calls ne *fait pas* remonter la classe — il faut un shim user-mode (hook inline ntdll, provider ETW par classe) ou un callback noyau. Règle empirique : tout processus appelant les classes 7, 30, 31 en succession rapprochée sur lui-même fait de l'anti-debug. Les EDR qui s'en soucient instrumentent généralement le dispatch via instrumentation callbacks (PsSetLoadImageNotifyRoutine + NtSetInformationProcess(ProcessInstrumentationCallback)) ou via des hooks TI-ETW de style EtwTiLogReadWriteVm sur les opérations adjacentes.

Exemples de syscalls directs

// The canonical anti-debug fingerprint: classes 7, 30, 31 against self.
HANDLE hProc = NtCurrentProcess();
DWORD_PTR debugPort = 0;
HANDLE    debugObj  = NULL;
ULONG     debugFlags = 0;
ULONG ret;

NtQueryInformationProcess(hProc, ProcessDebugPort,         &debugPort, sizeof(debugPort), &ret);
NtQueryInformationProcess(hProc, ProcessDebugObjectHandle, &debugObj,  sizeof(debugObj),  &ret);
NtQueryInformationProcess(hProc, ProcessDebugFlags,        &debugFlags, sizeof(debugFlags), &ret);

if (debugPort != 0 || debugObj != NULL || debugFlags == 0) {
    // Debugger present (or has been). Bail.
    NtTerminateProcess(hProc, 0);
}

PROCESS_BASIC_INFORMATION pbi = { 0 };
ULONG ret;
NtQueryInformationProcess(NtCurrentProcess(),
                          ProcessBasicInformation,
                          &pbi, sizeof(pbi), &ret);
PPEB peb = pbi.PebBaseAddress;
// Now walk peb->Ldr->InMemoryOrderModuleList to enumerate modules
// without calling LdrEnumerateLoadedModules / EnumProcessModules.

; SSN 0x19 — stable Win10 1507 .. Win11 24H2.
NtQueryInformationProcess PROC
    mov  r10, rcx
    mov  eax, 19h
    syscall
    ret
NtQueryInformationProcess ENDP

Mappings MITRE ATT&CK

• T1622Debugger Evasionmitre ↗
• T1057Process Discoverymitre ↗
• T1106Native APImitre ↗