NtSetCachedSigningLevel

Prototype

NTSTATUS NtSetCachedSigningLevel(
  ULONG              Flags,
  SE_SIGNING_LEVEL   InputSigningLevel,
  PHANDLE            SourceFiles,
  ULONG              SourceFileCount,
  HANDLE             TargetFile
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 98 01 00 00      mov eax, 0x198
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Fait partie de l'infrastructure **Code Integrity (CI)** introduite avec Windows 10. CI maintient un verdict de signature mis en cache via EA sur chaque fichier exécutable, pour que les chargements d'image suivants évitent le coûteux parcours de hash Authenticode. Le cache vit dans l'attribut étendu NTFS `$Kernel.Purge.ESBCache` (l'EA est masqué — `fsutil file queryea` ne le montre pas par défaut ; CI utilise un FSCTL privé). `NtSetCachedSigningLevel` est l'*écrivain* — il demande à CI (module CI de `ci.dll` dans ntoskrnl) de calculer ou accepter un niveau de signature et de l'apposer dans l'EA. Le compagnon `NtGetCachedSigningLevel` est le *lecteur*. Les niveaux privilégiés (8 Antimalware, 12 Microsoft, 14 Windows) requièrent `SeTcbPrivilege` *et* que le processus appelant lui-même tourne à un niveau CI égal ou supérieur — donc un processus user-mode normal ne peut pas simplement tamponner `SE_SIGNING_LEVEL_WINDOWS`. L'appel est devenu attrayant pour les chercheurs car *une partie* de sa validation de paramètres vit dans la policy CI, pas dans `Nt*` lui-même, et des bugs historiques de résolution de policy ont été utilisés pour forcer CI à accepter des fichiers non signés.

Usage courant par les malwares

Pas un syscall de malware commodity, mais un **vecteur de recherche récurrent pour les évasions de sandbox et les bypass CIG (Code Integrity Guard)**. James Forshaw (Project Zero) a documenté plusieurs chemins où `NtSetCachedSigningLevel` pouvait être forcé à tamponner une DLL contrôlée par l'attaquant avec une entrée de cache niveau `Microsoft` — suffisant pour faire passer la DLL dans un processus protégé par `ProcessSignaturePolicy = MicrosoftSignedOnly`. Les PoC d'évasion de sandbox Edge/Chrome (époque CVE-2020-0938 et suivants) l'ont utilisé pour charger du code attaquant dans le broker du navigateur après RCE dans le renderer. Les classes de bugs Print Spooler / `Win32k` qui croisent App Container touchent aussi ce chemin. **Le malware réel n'appelle quasiment jamais ceci** — l'abus apparaît dans le code red-team / recherche, **PPLFault** (Gabriel Landau, 2022), et les bypass Process-Mitigation-Policy. Si vous voyez un processus non signé Microsoft appeler `NtSetCachedSigningLevel(SE_SIGNING_LEVEL_WINDOWS)`, vous regardez de l'exploitation, pas un comportement normal.

Opportunités de détection

Le provider ETW `Microsoft-Windows-CodeIntegrity` (GUID `{4ee76bd8-3cf4-44a0-a0ac-3937643e37a3}`) émet les événements 3023 / 3033 lors des écritures de cache, incluant le niveau de signature demandé et le chemin de l'image du processus appelant. CI logge aussi vers le canal Application & Services / `CodeIntegrity-Operational` — événements 3033 (fichier bloqué) et 3089 (info signature) référencent les lookups de cache. Le signal le plus fort est : tout processus dont l'image n'est pas signée à `SE_SIGNING_LEVEL_MICROSOFT` ou plus appelant `NtSetCachedSigningLevel` tout court, et particulièrement avec `InputSigningLevel >= 8`. La règle ASR `Block credential stealing from the Windows local security authority subsystem` de Defender attrape indirectement certains chemins d'abus car l'étape post-exploitation injecte généralement dans un processus protégé.

Exemples de syscalls directs

; Direct syscall stub for NtSetCachedSigningLevel (SSN 0x198 on Win11 24H2 / Server 2025)
NtSetCachedSigningLevel PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 198h         ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtSetCachedSigningLevel ENDP

// Forshaw-style CI cache stamping. Requires the calling process to already
// run at SE_SIGNING_LEVEL_MICROSOFT or above — the abuse vector is *getting
// that level* via a policy resolution bug, not this call itself.
#define SE_SIGNING_LEVEL_UNCHECKED   0
#define SE_SIGNING_LEVEL_AUTHENTICODE 4
#define SE_SIGNING_LEVEL_STORE       6
#define SE_SIGNING_LEVEL_ANTIMALWARE 8
#define SE_SIGNING_LEVEL_MICROSOFT   12
#define SE_SIGNING_LEVEL_WINDOWS     14

HANDLE hFile = /* opened with FILE_READ_DATA | FILE_WRITE_EA */;
NTSTATUS st = NtSetCachedSigningLevel(
    /* Flags */              0x4,           // force recompute
    /* InputSigningLevel */  SE_SIGNING_LEVEL_MICROSOFT,
    /* SourceFiles */        NULL,
    /* SourceFileCount */    0,
    /* TargetFile */         hFile);

// Verify the cache stamp succeeded by reading it back.
ULONG  flags = 0, level = 0, thumbAlg = 0, thumbSize = 32;
BYTE   thumb[32];
LARGE_INTEGER lastBlackList = { 0 }, lastTimeStamp = { 0 };
NTSTATUS st = NtGetCachedSigningLevel(
    hFile, &flags, (PSE_SIGNING_LEVEL)&level,
    thumb, &thumbSize, &thumbAlg,
    &lastBlackList, &lastTimeStamp);
// level should now equal what NtSetCachedSigningLevel stamped, e.g. 12 (Microsoft).

Mappings MITRE ATT&CK

• T1553Subvert Trust Controlsmitre ↗
• T1574Hijack Execution Flowmitre ↗
• T1106Native APImitre ↗