NtSetVolumeInformationFile

Prototype

NTSTATUS NtSetVolumeInformationFile(
  HANDLE                 FileHandle,
  PIO_STATUS_BLOCK       IoStatusBlock,
  PVOID                  FsInformation,
  ULONG                  Length,
  FS_INFORMATION_CLASS   FsInformationClass
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 C4 01 00 00      mov eax, 0x1C4
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Bien plus rare que son frère `Query` car les valeurs FS_INFORMATION_CLASS que les filesystems acceptent réellement sur le chemin `Set` sont limitées : `FileFsLabelInformation` (renommer le volume), `FileFsControlInformation` (politique de quota sur NTFS), et `FileFsObjectIdInformation` (attribution d'object-id NTFS). La plupart des autres classes renvoient `STATUS_INVALID_INFO_CLASS`. L'IRP passe par `IRP_MJ_SET_VOLUME_INFORMATION` et atteint NTFS à `NtfsFsdSetVolumeInformation`. Renommer un volume requiert le privilège `SE_MANAGE_VOLUME_NAME`, détenu par les administrateurs interactifs et `LocalSystem` — pas par les utilisateurs standards — donc l'usage de ce syscall depuis un contexte non-admin est en soi une télémétrie inhabituelle.

Usage courant par les malwares

Niche mais visible. Une poignée de familles ransomware — notamment **Petya/NotPetya** (2017, chiffreur MBR) et certains affiliés **Babuk** / **DarkSide** — émettent `FileFsLabelInformation` pour écraser le nom du volume avec leur marque ou une chaîne `READ_ME_*`, afin que tout écran de récupération pre-boot ou `dir C:\` montre le marqueur de rançon avant que l'utilisateur n'ouvre la note. **BlackMatter** (2021) renommait les labels en un court hash correspondant à son ransom ID. Au-delà du ransomware, l'appel est essentiellement inutilisé par les malwares commodity — il n'y a pas de primitive offensive ici, seulement du branding.

Opportunités de détection

Microsoft Defender for Endpoint expose les changements de label via `DeviceEvents` ActionType `VolumeMounted` / `VolumeRenamed`. Sysmon ne couvre *pas* cela directement mais les traces IRP ETW `Microsoft-Windows-Kernel-File` montrent `IRP_MJ_SET_VOLUME_INFORMATION` avec classe 2 (`FileFsLabelInformation`). Parce que le chemin privilégié est si étroit, *tout* `NtSetVolumeInformationFile(FileFsLabelInformation)` depuis un processus non-fiable — tout ce qui n'est pas `explorer.exe`, `cmd.exe label`, `format.com`, ou un produit de backup connu — doit être considéré comme indication ransomware à haute confiance, surtout enchaîné avec une énumération `NtQueryVolumeInformationFile` de toutes les lettres de lecteur quelques secondes plus tôt.

Exemples de syscalls directs

; Direct syscall stub for NtSetVolumeInformationFile (SSN 0x1C4 on Win11 24H2 / Server 2025)
NtSetVolumeInformationFile PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1C4h         ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtSetVolumeInformationFile ENDP

// Requires SE_MANAGE_VOLUME_NAME privilege. Petya/NotPetya stamped
// volume labels with their ransom marker — visible in pre-boot UI.
#include <ntstatus.h>

typedef struct _FILE_FS_LABEL_INFORMATION {
    ULONG VolumeLabelLength;        // bytes, not chars
    WCHAR VolumeLabel[1];
} FILE_FS_LABEL_INFORMATION;

WCHAR  label[] = L"READ_ME_NOW";
SIZE_T bytes   = sizeof(label) - sizeof(WCHAR);
BYTE   buf[sizeof(FILE_FS_LABEL_INFORMATION) + sizeof(label)];
FILE_FS_LABEL_INFORMATION* p = (FILE_FS_LABEL_INFORMATION*)buf;
p->VolumeLabelLength = (ULONG)bytes;
memcpy(p->VolumeLabel, label, bytes);

IO_STATUS_BLOCK iosb;
NTSTATUS st = NtSetVolumeInformationFile(
    hVolumeRoot, &iosb, p,
    (ULONG)(sizeof(FILE_FS_LABEL_INFORMATION) + bytes),
    2 /* FileFsLabelInformation */);

// Cargo: windows-sys = "0.59" (Win32_Storage_FileSystem)
use windows_sys::Win32::Storage::FileSystem::SetVolumeLabelW;
use std::ffi::OsStr;
use std::os::windows::ffi::OsStrExt;

// Internally calls NtSetVolumeInformationFile(FileFsLabelInformation).
fn relabel(root: &str, label: &str) -> bool {
    let to_wide = |s: &str| -> Vec<u16> { OsStr::new(s).encode_wide().chain(Some(0)).collect() };
    let r = to_wide(root);
    let l = to_wide(label);
    unsafe { SetVolumeLabelW(r.as_ptr(), l.as_ptr()) != 0 }
}

Mappings MITRE ATT&CK

• T1486Data Encrypted for Impactmitre ↗
• T1491.001Internal Defacementmitre ↗
• T1106Native APImitre ↗