NtRollbackTransaction

Prototype

NTSTATUS NtRollbackTransaction(
  HANDLE  TransactionHandle,
  BOOLEAN Wait
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 8F 01 00 00      mov eax, 0x18F     ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Avorte la transaction au niveau KTM. Chaque changement NTFS effectué dans la transaction est restauré à son état pré-transaction par rejeu du log d'undo CLFS. Surtout, **les sections déjà créées à partir d'un fichier transactionnel restent valides** — le noyau n'invalide pas les mappings `SectionObject->ControlArea->FilePointer` simplement parce que le fichier sous-jacent a été annulé. Ce découplage est la base entière du Process Doppelgänging.

Usage courant par les malwares

Le coup final du **Process Doppelgänging** canonique (T1055.013). Une fois le payload malveillant écrit dans un fichier transactionnel *et* une section créée depuis ce dernier, le rollback élimine les preuves sur disque. Le fichier disparaît complètement ou revient à son contenu pré-transaction (souvent une copie d'un binaire Microsoft signé propre), tandis que la section en mémoire — toujours adossée aux octets malveillants — sert à instancier un processus. Du point de vue de la création de processus côté noyau, l'image file name pointe toujours vers le fichier propre restauré : cela défait les AV basés sur hash qui scannent le binaire sur disque et la plupart des lookups produit-image par signature. SynAck (2018), variantes Osiris/Kronos et le PoC original enSilo terminent tous la chaîne avec cet appel.

Opportunités de détection

ETW `Microsoft-Windows-Kernel-File` expose les événements de rollback ; corréler ces événements avec les créations de section sur le même `FileObject` est la chasse au Doppelgänging la plus fiable. Microsoft Defender for Endpoint a ajouté une détection comportementale du pattern create-write-section-rollback après 2018. Vecteurs de détection indépendants : comparer le hash de `PEB->ProcessParameters->ImagePathName` au fichier disque au moment de la création de processus ; signaler toute discordance. Les callbacks kernel-mode `PsSetCreateProcessNotifyRoutineEx` reçoivent `CREATE_PROCESS_NOTIFY_INFO->FileObject`, qui pointe toujours vers le fichier transactionnel (désormais annulé) — le `FileObject->SectionObjectPointer->ImageSectionObject` peut déjà être détaché, ce qui est en soi anormal.

Exemples de syscalls directs

// Final step of Process Doppelgänging — section is already created.
// After this call, the on-disk file is restored, but hSection still maps payload.

NTSTATUS s = NtRollbackTransaction(hTransaction, /*Wait=*/ TRUE);
if (!NT_SUCCESS(s)) return s;

NtClose(hTransactedFile);
NtClose(hTransaction);

// Spawn process from the orphaned section.
HANDLE hProcess = NULL;
NtCreateProcessEx(
    &hProcess,
    PROCESS_ALL_ACCESS,
    NULL,
    NtCurrentProcess(),
    PROCESS_CREATE_FLAGS_INHERIT_HANDLES,
    hSection,
    NULL, NULL, FALSE);

; NtRollbackTransaction direct stub — SSN 0x18F on Win11 24H2
NtRollbackTransaction PROC
    mov  r10, rcx
    mov  eax, 18Fh
    syscall
    ret
NtRollbackTransaction ENDP

use ntapi::ntxcapi::NtRollbackTransaction;
use winapi::shared::ntdef::HANDLE;

unsafe fn rollback(tx: HANDLE) {
    let status = NtRollbackTransaction(tx, 1 /* TRUE */);
    assert!(status >= 0, "rollback failed: 0x{:X}", status);
}

Mappings MITRE ATT&CK

• T1055.013Process Doppelgängingmitre ↗
• T1027Obfuscated Files or Informationmitre ↗
• T1106Native APImitre ↗