NtReadVirtualMemory

Prototype

NTSTATUS NtReadVirtualMemory(
  HANDLE  ProcessHandle,
  PVOID   BaseAddress,
  PVOID   Buffer,
  SIZE_T  NumberOfBytesToRead,
  PSIZE_T NumberOfBytesRead
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 3F 00 00 00      mov eax, 0x3F
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Contrepartie de `NtWriteVirtualMemory`, également implémentée par `MmCopyVirtualMemory` mais avec les rôles source/destination inversés. Le SSN `0x3F` est resté stable sur tous les builds Win10/11 livrés. Les lectures partielles (page source non mappée ou `PAGE_NOACCESS`) retournent `STATUS_PARTIAL_COPY` et mettent à jour `NumberOfBytesRead`. Le noyau respecte `PROCESS_VM_READ` mais ne contourne pas la protection des pages — les pages de garde déclenchent un fault et se propagent en `STATUS_GUARD_PAGE_VIOLATION`.

Usage courant par les malwares

Primitive de lecture clé derrière le vol de credentials LSASS. Mimikatz, pypykatz, lsassy, nanodump et le BOF `mimikatz` de Cobalt Strike lisent la mémoire du processus LSASS soit via `ReadProcessMemory` (qui encapsule ce syscall) soit en émettant le syscall directement pour échapper aux hooks ntdll. Utilisée aussi par les infostealers (RedLine, Vidar, Stealc) pour extraire des secrets des processus navigateurs, et par les outils d'évasion EDR pour comparer la ntdll en mémoire à celle sur disque et localiser les inline hooks à retirer.

Opportunités de détection

La télémétrie principale est Sysmon Event ID 10 (`ProcessAccess`) avec un `GrantedAccess` contenant `PROCESS_VM_READ` (0x0010), surtout lorsque la cible est `lsass.exe` — les masques bien connus `0x1010`/`0x1410`/`0x1438`. La règle ASR de Windows Defender `9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2` bloque le dump de credentials LSASS en interceptant les ouvertures avec VM_READ. Les syscalls directs ne contournent pas la télémétrie noyau enregistrée par les EDR via `PsSetCreateProcessNotifyRoutineEx` ou `ObRegisterCallbacks` sur les opens de processus — la lecture peut être invisible, mais le `NtOpenProcess` précédent l'est rarement.

Exemples de syscalls directs

; Direct syscall stub for NtReadVirtualMemory (SSN 0x3F, stable across all Win10/11)
NtReadVirtualMemory PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 3Fh          ; SSN
    syscall
    ret
NtReadVirtualMemory ENDP

// Read the .text of ntdll from a clean disk copy and compare to the in-memory ntdll
// to locate inline hooks installed by EDRs. The remote read uses NtCurrentProcess()
// because the comparison is against our own image.
SIZE_T read = 0;
NTSTATUS st = NtReadVirtualMemory(NtCurrentProcess(),
                                  (PVOID)inmem_text_rva,
                                  current_text_copy,
                                  text_size, &read);
if (NT_SUCCESS(st)) diff_and_restore(disk_text_copy, current_text_copy, text_size);

// Open LSASS with PROCESS_VM_READ + PROCESS_QUERY_INFORMATION, then stream pages
// out via NtReadVirtualMemory into an in-memory MiniDump structure (nanodump style).
for (PVOID p = region_base; p < region_end; p = (PBYTE)p + 0x1000) {
    SIZE_T got = 0;
    if (NT_SUCCESS(NtReadVirtualMemory(hLsass, p, page_buf, 0x1000, &got))) {
        write_minidump_page(p, page_buf, got);
    }
}

Mappings MITRE ATT&CK

• T1003.001OS Credential Dumping: LSASS Memorymitre ↗
• T1057Process Discoverymitre ↗
• T1106Native APImitre ↗