NtAlertResumeThread

Prototyp

NTSTATUS NtAlertResumeThread(
  HANDLE  ThreadHandle,
  PULONG  PreviousSuspendCount
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 6F 00 00 00      mov eax, 0x6F
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Funktional ist `NtAlertResumeThread` die Fusion aus `NtAlertThread` + `NtResumeThread` in einem Kernel-Roundtrip. Der Kernel dekrementiert den Suspend-Count *und* setzt das Alert-Bit, sodass beim nächsten Alertable-Punkt — oder wenn bereits eine APC eingereiht ist — sofort dispatcht wird. Im Win32-Layer existiert kein direktes Äquivalent; `ResumeThread` setzt das Alert-Bit nicht. Phnt dokumentiert es; das öffentliche SDK nicht.

Häufige Malware-Nutzung

Wird in APC-Injection-Ketten verwendet, wenn beide Hälften atomar sein sollen — Thread wecken und garantieren, dass die APC sofort feuert. Viele Early-Bird- und Atom-Bombing-Varianten bevorzugen `NtAlertResumeThread` gegenüber `NtResumeThread + NtTestAlert`, weil das ein TOCTOU-Fenster entfernt, in dem ein EDR den fortgesetzten Thread vor der APC-Auslieferung beobachten könnte. Er ist die kanonische Resume-Primitive in modernen Sleep-Mask-Kits (Ekko, Cronos), die den Beacon-Thread suspendieren, um Speicher zu verschlüsseln, und dann ein atomares Aufwachen brauchen, das die Decrypt-APC zündet.

Erkennungs­möglichkeiten

Aufrufe von `NtAlertResumeThread` aus einem Prozess auf einen Thread in einem anderen Prozess sind laut: Cross-Process-Resume ist in normaler Software selten und in Verbindung mit vorausgegangenem `NtQueueApcThread` auf denselben Thread ein starker Injection-Indikator. Kernel-Callbacks `PsSetCreateThreadNotifyRoutineEx` und ETW `Microsoft-Windows-Threat-Intelligence` erfassen diese Remote-Thread-State-Transitions. Erkennungsregeln in CarbonBlack und Elastic SIEM markieren die Cross-Process-Sequenz `NtQueueApcThread → NtAlertResumeThread` regelmäßig als APC-Injection.

Direkte Syscall-Beispiele

; Direct syscall stub for NtAlertResumeThread (SSN 0x6F on Win11 24H2)
NtAlertResumeThread PROC
    mov  r10, rcx          ; ThreadHandle
    mov  eax, 6Fh          ; SSN
    syscall
    ret
NtAlertResumeThread ENDP

// Resume a suspended remote thread and atomically deliver the APC.
extern "C" NTSTATUS NTAPI NtQueueApcThread(HANDLE, PVOID, PVOID, PVOID, PVOID);
extern "C" NTSTATUS NTAPI NtAlertResumeThread(HANDLE, PULONG);

void InjectViaApc(HANDLE hThread, PVOID pShellcodeRX) {
    // 1. Queue user-APC pointing at our shellcode.
    NtQueueApcThread(hThread, pShellcodeRX, NULL, NULL, NULL);
    // 2. Atomically wake + alert; APC fires on next user-mode dispatch.
    ULONG prev = 0;
    NtAlertResumeThread(hThread, &prev);
}

use std::arch::asm;

#[unsafe(naked)]
pub unsafe extern "system" fn nt_alert_resume_thread(
    _thread: *mut core::ffi::c_void,
    _prev: *mut u32,
) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x6F",     // Win11 24H2 — resolve dynamically in production
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1055.004Asynchronous Procedure Callmitre ↗
• T1106Native APImitre ↗