NtSetInformationProcess

Prototype

NTSTATUS NtSetInformationProcess(
  HANDLE           ProcessHandle,
  PROCESSINFOCLASS ProcessInformationClass,
  PVOID            ProcessInformation,
  ULONG            ProcessInformationLength
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 1C 00 00 00      mov eax, 0x1C
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

SSN 0x1C depuis Windows 10 1507 — appairé au 0x19 de NtQueryInformationProcess, c'est l'un des rares slots de contrôle de processus que Microsoft a explicitement gelés. Le côté écriture est nettement plus privilégié que le côté lecture : de nombreuses classes (ProcessAccessToken, ProcessSignaturePolicy, ProcessHandleTracing) exigent PROCESS_SET_INFORMATION + des privilèges spécifiques (SeDebugPrivilege, SeTcbPrivilege) et plusieurs refusent de s'appliquer une fois qu'une DLL non-système a été chargée. Certaines classes sont *one-shot* — une fois que ProcessSignaturePolicy active MicrosoftSignedOnly, le noyau ne permet pas de le désactiver.

Usage courant par les malwares

Trois classes d'abus à forte valeur. (1) Auto-anti-debug : écrire ProcessDebugFlags (31) avec la valeur 1 efface silencieusement le flag NoDebugInherit suivi par le noyau et désactive l'héritage debug pour les processus enfants — aussi largement utilisé comme écriture-leurre pour brouiller les heuristiques AV. (2) Contournement ACG / CIG : ProcessSignaturePolicy (44) peut être interrogé pour détecter l'application de CIG, et ProcessDynamicEnforcedCetCompatibleRanges (80) est utilisé par les frameworks d'évasion EDR pour enregistrer les régions de shellcode de l'attaquant comme « compatibles CET » afin que l'indirect-branch tracking n'avorte pas à la première exécution. (3) Détournement d'instrumentation : ProcessInstrumentationCallback (40) installe une fonction appelée par le noyau à chaque retour de syscall — un attaquant qui le contrôle obtient un point d'étranglement userland sur *tous* les syscalls du processus cible, parfait pour la détection de hooking/unhooking (et célèbre comme technique de unhook contre les patches user-mode des EDR).

Opportunités de détection

Les appels set-information sont bien plus rares que les requêtes — tout appelant légitime devrait être auditable. Les classes à fort signal (31, 40, 44, 80) n'apparaissent presque jamais dans du logiciel bénin. ETW Microsoft-Windows-Threat-Intelligence expose EtwTiLogSetProcessInfo pour un sous-ensemble de classes ; le reste doit être observé via des événements TI ou de l'instrumentation noyau. Defender for Endpoint alerte spécifiquement sur les écritures ProcessInstrumentationCallback provenant de processus non-système. Les écritures « compat range » CET (classe 80) sont particulièrement suspectes depuis tout appelant non image-backed — elles n'ont essentiellement aucun consommateur légitime hors composants runtime de Microsoft.

Exemples de syscalls directs

// Setting ProcessDebugFlags=1 turns OFF NoDebugInherit, which paradoxically
// causes later NtQueryInformationProcess(ProcessDebugFlags) reads to return 1
// (i.e. 'no debugger ever attached'). Used to defeat naive anti-debug detectors.
ULONG debugFlags = 1;
NtSetInformationProcess(NtCurrentProcess(),
                        ProcessDebugFlags,   // 31
                        &debugFlags, sizeof(debugFlags));

// Install a callback that fires on every syscall return. The kernel jumps to it
// with RAX = original RIP, R10 = original return address. Used both offensively
// (unhook EDR ntdll patches) and by EDRs themselves (Defender once shipped one).
typedef struct _PROCESS_INSTRUMENTATION_CALLBACK_INFORMATION {
    ULONG Version;     // 0
    ULONG Reserved;
    PVOID Callback;    // function to call on every syscall return
} PROCESS_INSTRUMENTATION_CALLBACK_INFORMATION;

PROCESS_INSTRUMENTATION_CALLBACK_INFORMATION info = {
    .Version = 0, .Reserved = 0, .Callback = MyCallback
};
NtSetInformationProcess(NtCurrentProcess(),
                        ProcessInstrumentationCallback, // 40
                        &info, sizeof(info));

; SSN 0x1C — stable Win10 1507 .. Win11 24H2.
NtSetInformationProcess PROC
    mov  r10, rcx
    mov  eax, 1Ch
    syscall
    ret
NtSetInformationProcess ENDP

Mappings MITRE ATT&CK

• T1622Debugger Evasionmitre ↗
• T1562.001Impair Defenses: Disable or Modify Toolsmitre ↗
• T1106Native APImitre ↗