Direct Syscalls

Définition

Les direct syscalls (ou syscalls directs) sont une technique d'évasion qui exécute les appels système Windows directement via des instructions assembleur (syscall/sysenter) sans passer par les fonctions de ntdll.dll ou kernel32.dll. Cette approche contourne les hooks userland installés par les EDR dans ces bibliothèques pour surveiller les activités des processus. Les EDR modernes fonctionnent partiellement en injectant des hooks dans les fonctions d'API Windows (NtCreateFile, NtReadVirtualMemory, NtAllocateVirtualMemory, etc.) dans l'espace d'adressage de chaque processus. Ces hooks redirigent l'exécution vers le code de l'EDR avant d'appeler la vraie fonction, permettant une inspection des arguments et un blocage si nécessaire. Les direct syscalls court-circuitent ces hooks en utilisant directement les numéros de syscall (System Service Numbers - SSN) pour déclencher la transition kernel sans passer par ntdll. Le code assembleur typique est : mov r10, rcx; mov eax, SSN; syscall; ret. Pour NtAllocateVirtualMemory, l'attaquant inclut directement ce stub dans son code plutôt que d'appeler la fonction ntdll. Les défis incluent : les SSN varient selon les versions de Windows (NtAllocateVirtualMemory est 0x0018 sur Windows 10 1909 mais différent sur d'autres versions), nécessitant une résolution dynamique des SSN. Des techniques comme Hell's Gate et Halo's Gate extraient les SSN depuis le code des fonctions ntdll en mémoire, même si elles sont hookées (les hooks modifient les premiers octets mais les instructions mov eax, SSN sont généralement à un offset fixe). Des variantes avancées incluent : indirect syscalls (exécuter le syscall depuis l'intérieur de ntdll.dll pour que le kernel voie une adresse de retour dans ntdll et non dans du code malveillant), et le Kernel Callback Table hijacking pour des opérations encore plus discrètes.