NtUnlockVirtualMemory

Prototype

NTSTATUS NtUnlockVirtualMemory(
  HANDLE  ProcessHandle,
  PVOID  *BaseAddress,
  PSIZE_T RegionSize,
  ULONG   MapType
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 DE 01 00 00      mov eax, 0x1DE
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Le strict pendant de NtLockVirtualMemory. Le SSN dérive à chaque release majeure (`0x1C5` Win10 1903, `0x1CB` 2004, `0x1DE` Win11 24H2 / Server 2025). L'appeler sur une région non verrouillée renvoie `STATUS_NOT_LOCKED` (0xC000002A) qui est bénin ; l'appeler avec un `MapType` non concordant renvoie `STATUS_INVALID_PARAMETER`. L'implémentation noyau abaisse à nouveau le minimum du working set du processus, mais ne pagine pas activement la région — elle autorise simplement le trim. Pratiquement chaque usage légitime est apparié un-à-un avec un NtLockVirtualMemory précédent.

Usage courant par les malwares

Le côté réveil du motif sleep-mask documenté sous NtLockVirtualMemory. Ekko, Foliage et la famille `Sleep_Mask` Cobalt Strike utilisent un cycle `Lock → Chiffrer → Dormir → Déchiffrer → Unlock` à chaque intervalle de callback du beacon ; l'`Unlock` correspondant libère le quota de working set pour que les allocations suivantes ne soient pas écrasées. Certains packers déverrouillent aussi la région OEP après un timeout watchdog pour réduire leur empreinte working set visible. En soi, NtUnlockVirtualMemory n'est essentiellement jamais le foyer d'un comportement malveillant — sa présence est surtout utile comme signal d'*appariement* à côté d'un NtLockVirtualMemory du même thread sur la même plage plus tôt dans la trace.

Opportunités de détection

Détecter la *paire*, pas l'appel isolé. La séquence classique haute signal dans un thread : `NtAllocateVirtualMemory(RWX)` → `NtLockVirtualMemory(MAP_PROCESS)` → `NtDelayExecution(long)` → `NtUnlockVirtualMemory` → exécuter. Hooker le thunk user-mode VirtualUnlock et corréler avec le site VirtualLock précédent et les bits de protection de l'allocation. Les scanners mémoire qui snapshottent l'appartenance au working set dans le temps peuvent parfois repérer le pulse lock-puis-unlock — bien que beaucoup d'EDR ne retiennent pas cet historique. Comme NtLockVirtualMemory, il n'existe pas d'événement ETW de première classe ; le chaînage comportemental est la voie.

Exemples de syscalls directs

; Direct syscall stub for NtUnlockVirtualMemory
NtUnlockVirtualMemory PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1DEh         ; SSN (Win11 24H2 / Server 2025)
    syscall
    ret
NtUnlockVirtualMemory ENDP

// Symmetric counterpart to the SleepWithLockedRegion example: after the
// caller wakes and decrypts in place, unlock so the working-set quota is
// returned and subsequent allocations aren't crowded.
#include <windows.h>

typedef NTSTATUS (NTAPI *pNtUnlockVirtualMemory)(HANDLE, PVOID*, PSIZE_T, ULONG);
#define MAP_PROCESS 1

NTSTATUS UnlockRegion(PVOID base, SIZE_T size) {
    pNtUnlockVirtualMemory NtUnlockVirtualMemory = (pNtUnlockVirtualMemory)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtUnlockVirtualMemory");
    PVOID  b = base;
    SIZE_T s = size;
    return NtUnlockVirtualMemory((HANDLE)-1, &b, &s, MAP_PROCESS);
}

// Cargo: windows-sys = "0.59" (Win32_System_Memory)
use windows_sys::Win32::System::Memory::{VirtualLock, VirtualUnlock};

pub struct Pinned { ptr: *mut u8, len: usize }

impl Pinned {
    pub fn new(p: *mut u8, len: usize) -> std::io::Result<Self> {
        if unsafe { VirtualLock(p as _, len) } == 0 {
            return Err(std::io::Error::last_os_error());
        }
        Ok(Self { ptr: p, len })
    }
}

impl Drop for Pinned {
    fn drop(&mut self) {
        // VirtualUnlock — underneath, NtUnlockVirtualMemory(MAP_PROCESS).
        unsafe { VirtualUnlock(self.ptr as _, self.len); }
    }
}

Mappings MITRE ATT&CK

• T1027.011Obfuscated Files or Information: Fileless Storagemitre ↗
• T1027Obfuscated Files or Informationmitre ↗
• T1106Native APImitre ↗