NtTraceEvent

Prototype

NTSTATUS NtTraceEvent(
  HANDLE TraceHandle,
  ULONG  Flags,
  ULONG  FieldSize,
  PVOID  Fields
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1                  mov r10, rcx
B8 5E 00 00 00            mov eax, 0x5E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Notes non documentées

Le point d'entrée noyau derrière chaque *écriture* ETW user-mode. `EventWrite`, `EventWriteEx`, `EventWriteTransfer`, `EtwEventWrite` et les émetteurs TraceLogging auto-générés passent tous par `ntdll!EtwEventWriteFull` → `NtTraceEvent`. Le TraceHandle n'est *pas* un handle de session — c'est le handle d'enregistrement par provider renvoyé par `EtwRegister`, et le noyau parcourt le masque d'activation du provider pour décider quelles sessions reçoivent l'évènement. Son SSN est resté `0x5E` de Windows 10 1507 jusqu'à Windows 11 24H2 et Server 2025, l'un des numéros de syscall les plus stables du système, vraisemblablement parce qu'il est sur le chemin chaud de toute la télémétrie Microsoft.

Usage courant par les malwares

Valeur offensive directe limitée — l'appeler écrit des évènements que les défenseurs *peuvent* voir. L'inverse intéressant est l'opposé : les implants qui veulent un canal de log privé enregistrent volontairement un GUID de provider que personne ne collecte et appellent `NtTraceEvent` pour griffonner du debug runtime dans une session à laquelle aucun SOC ne s'abonne. Certains loaders s'en servent aussi pour émettre de faux évènements `Microsoft-Windows-*` qui diluent les requêtes de hunt. Beaucoup plus d'attention va à la *suppression* des écritures (cf. `NtTraceControl`) qu'à l'abus direct de cet appel. Quelques notes d'évasion EDR mentionnent l'écrasement d'`EtwEventWrite` par `ret` dans ntdll, ce qui effondre le versant user-mode de ce chemin exact.

Opportunités de détection

En soi, les appels à `NtTraceEvent` sont du pur bruit — chaque application Office, onglet de navigateur et service Windows en émet des milliers par seconde. Ce qui compte, c'est l'*absence* d'évènements attendus d'un processus dont ntdll a été patché (ex. premier octet d'`EtwEventWrite` = `0xC3`). Comparez les octets ntdll en mémoire à ceux du disque pour les quatre stubs d'écriture ETW classiques (`EtwEventWrite`, `EtwEventWriteFull`, `EtwEventWriteEx`, `EtwEventWriteTransfer`) ; toute divergence est haute-fidélité. Au niveau session, les trous de log pour les providers `Microsoft-Windows-Threat-Intelligence` et `Microsoft-Windows-Kernel-Process` corrélés à des créations de processus sont le signe classique d'un bypass ETW.

Exemples de syscalls directs

// Standard TraceLogging path — ultimately calls NtTraceEvent.
#include <windows.h>
#include <evntprov.h>

static const GUID kImplantProvider =
    { 0x11111111, 0x2222, 0x3333, { 0x44,0x55,0x66,0x77,0x88,0x99,0xAA,0xBB } };

REGHANDLE hReg = 0;
EventRegister(&kImplantProvider, NULL, NULL, &hReg);

EVENT_DESCRIPTOR ed = { 0 };
ed.Id = 1; ed.Level = 4; // Information

EVENT_DATA_DESCRIPTOR edd;
const wchar_t* msg = L"beacon-checkin";
EventDataDescCreate(&edd, msg, (ULONG)((wcslen(msg) + 1) * sizeof(wchar_t)));

// Funnels through ntdll!EtwEventWriteFull -> NtTraceEvent.
EventWriteTransfer(hReg, &ed, NULL, NULL, 1, &edd);

NtTraceEvent PROC
    mov  r10, rcx
    mov  eax, 5Eh
    syscall
    ret
NtTraceEvent ENDP

// Cargo: windows-sys = { version = "0.59", features = ["Win32_System_Diagnostics_Etw"] }
use windows_sys::Win32::System::Diagnostics::Etw::*;
use windows_sys::core::GUID;

const PROVIDER: GUID = GUID::from_u128(0x11111111_2222_3333_4455_66778899AABB);

unsafe fn beacon_log(msg: &[u8]) {
    let mut hreg: u64 = 0;
    EventRegister(&PROVIDER, None, std::ptr::null_mut(), &mut hreg);

    let ed = EVENT_DESCRIPTOR { Id: 1, Level: 4, ..core::mem::zeroed() };
    let mut edd = EVENT_DATA_DESCRIPTOR { Ptr: msg.as_ptr() as u64, Size: msg.len() as u32, Reserved: 0 };
    EventWrite(hreg, &ed, 1, &mut edd);
}

Mappings MITRE ATT&CK

• T1106Native APImitre ↗
• T1562Impair Defensesmitre ↗