NtVdmControl

Prototype

NTSTATUS NtVdmControl(
  VDMSERVICECLASS ServiceClass,
  PVOID           ServiceData
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 E2 01 00 00      mov eax, 0x1E2
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtVdmControl est le back-end kernel du NT Virtual DOS Machine (NTVDM) — le sous-système Windows NT qui exécutait les binaires MS-DOS 16 bits et Win16 sur Windows 32 bits via ntvdm.exe. NTVDM a été *intégralement supprimé* des éditions 64 bits de Windows, car les CPU en long-mode ne peuvent pas exécuter le v8086-mode dont NTVDM dépendait. Le stub de syscall survit malgré tout dans ntoskrnl.exe 64 bits et dispatche vers un stub qui renvoie STATUS_NOT_IMPLEMENTED pour toute ServiceClass en x64. Sur Windows 10/11 32 bits (et sur ntvdm.exe hébergé en WoW64 sur éditions 32 bits) l'appel sert la mise en file d'interruptions, la maintenance de la zone de données BIOS et les transitions d'état v8086 pour le processus DOS trappé. Aucun wrapper Win32 public ; tout ce qui l'utilise est interne à ntvdm.exe et au sous-système WoW16/NTVDM.

Usage courant par les malwares

Pur intérêt historique sur x64 moderne. Sur XP 32 bits et Windows 7 32 bits, NTVDM était un vecteur Trojan récurrent — des composants DOS 16 bits de familles mass-mailer (variantes Bagle, Sober, Bugbear) livraient un petit stub DOS qui, lancé, démarrait ntvdm.exe lequel appelait NtVdmControl dans son initialisation normale. Le vecteur d'abus réel était le code 16 bits, pas le syscall lui-même, mais le syscall est le point de passage obligé. NTVDM a aussi été la source de plusieurs élévations de privilège : CVE-2010-0232 (le bug du handler #GP de Tavis Ormandy, exploité sur XP/Vista/7 32 bits) et CVE-2018-8897/8453 (bugs kernel atteignables via les chemins hérités). Sur Windows 64 bits le syscall est inatteignable comme primitive utile et il n'y a aucun rapport d'abus en environnement réel.

Opportunités de détection

Sur Windows 64 bits, *tout* appel à NtVdmControl est anormal — l'appelant légitime (ntvdm.exe) n'existe pas et le syscall retourne STATUS_NOT_IMPLEMENTED inconditionnellement. Le provider ETW Microsoft-Windows-Kernel-Audit-API-Calls et les hooks de tracing syscall EDR peuvent signaler les invocations directement ; le taux de faux positifs sur un poste Windows 11 moderne est essentiellement nul. Sur les hôtes 32 bits, limiter la détection aux processus autres que %SystemRoot%\System32\ntvdm.exe et surveiller les chaînes parents ntvdm.exe qui ne proviennent pas d'un double-clic utilisateur sur un binaire .com/.exe MZ-only. Sysmon Event ID 1 (création de processus) avec parent ntvdm.exe + enfant d'un binaire DOS inhabituel est la chasse pratique sur systèmes hérités.

Exemples de syscalls directs

; Direct syscall stub for NtVdmControl (SSN 0x1E2, Win11 24H2)
; On x64 always returns 0xC0000002 STATUS_NOT_IMPLEMENTED.
NtVdmControl PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1E2h         ; SSN
    syscall
    ret
NtVdmControl ENDP

// Historical sketch — does not work on any 64-bit Windows.
// 16-bit MZ-only DOS components of early-2000s mass-mailers (Bagle, Sober)
// relied on the Windows shell auto-launching ntvdm.exe when the user
// double-clicked the 16-bit dropper. Inside, ntvdm.exe issued a long
// sequence of NtVdmControl calls to set up interrupt queues and the
// BIOS data area for the trapped DOS task.
//
// On modern x64 Windows the shell refuses to run 16-bit MZ binaries
// ("unsupported 16-bit application") and this whole vector is dead.
//
// Reference: VX-Underground archives, Symantec write-ups on Bagle.A
// and Sober.D from 2003-2004.
typedef NTSTATUS (NTAPI *PFN_NtVdmControl)(ULONG ServiceClass, PVOID ServiceData);
HMODULE hNtdll = GetModuleHandleW(L"ntdll.dll");
PFN_NtVdmControl p = (PFN_NtVdmControl)GetProcAddress(hNtdll, "NtVdmControl");
NTSTATUS s = p(/*VdmInitialize*/ 0, NULL); // STATUS_NOT_IMPLEMENTED on x64

// Detection helper: on any x64 Windows this returns STATUS_NOT_IMPLEMENTED.
// Useful inside an EDR self-test or a defensive sanity check.
use std::ffi::CString;
use std::ptr;

type NtVdmControlFn = unsafe extern "system" fn(u32, *mut core::ffi::c_void) -> i32;

fn ntvdm_is_dead() -> bool {
    unsafe {
        let ntdll = libloading::Library::new("ntdll.dll").unwrap();
        let f: libloading::Symbol<NtVdmControlFn> =
            ntdll.get(b"NtVdmControl").unwrap();
        let status = f(0, ptr::null_mut());
        status == 0xC0000002u32 as i32 // STATUS_NOT_IMPLEMENTED
    }
}

Mappings MITRE ATT&CK

• T1068Exploitation for Privilege Escalationmitre ↗
• T1106Native APImitre ↗