NtAssignProcessToJobObject

Prototyp

NTSTATUS NtAssignProcessToJobObject(
  HANDLE JobHandle,
  HANDLE ProcessHandle
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 91 00 00 00      mov eax, 0x91
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtAssignProcessToJobObject ist der Verdrahtungsschritt, der ein frisch erzeugtes Job in etwas verwandelt, das einen Prozess tatsächlich beeinflusst. Nach der Zuweisung erbt der Prozess alle auf das Job gesetzten Limits (Working-Set-Caps, UI-Restriktionen, CPU-Rate, Breakaway-Policy) und trägt zum Accounting des Jobs bei. Vor Windows 8 konnte ein Prozess höchstens in einem Job sein; verschachtelte Jobs seit Win8 zwingen den Kernel, bei jeder Prüfung eine Job-Kette zu durchlaufen. Das klassische Sandbox-Muster lautet `NtCreateJobObject → NtSetInformationJobObject(Limits + UI-Restriktionen) → NtCreateUserProcess(suspendiert) → NtAssignProcessToJobObject → NtResumeThread`.

Häufige Malware-Nutzung

In der weit überwiegenden Mehrzahl der Fälle defensiv. Das offensive Interesse ist sandbox-aware: erlaubt das Job JOB_OBJECT_LIMIT_BREAKAWAY_OK, entkommt ein mit CREATE_BREAKAWAY_FROM_JOB gespawnter Kindprozess dem Container; viele AppContainer- und Chromium-Sandbox-Bypasses stützen sich darauf. Wenige Red-Team-Frameworks rufen NtAssignProcessToJobObject auf das eigene Implant auf, um eine KILL_ON_JOB_CLOSE-Policy anzuhängen — schließt das Implant-Handle, sterben alle gespawnten Helfer mit. Nützlich für sauberen Rückzug. Allein schwaches Signal, sinnvoll nur in Kette mit NtSetInformationJobObject und Policy-Abfragen.

Erkennungs­möglichkeiten

Kein dediziertes Sysmon-Event. ETW Microsoft-Windows-Kernel-Process protokolliert Änderungen der Job-Zugehörigkeit eines Prozesses; das umsetzbare Signal liegt darin, die Zuweisung mit dem Ursprungsprozess zu paaren (wer besitzt JobHandle?). EDR-Hooks auf NtAssignProcessToJobObject sollten mit dem unmittelbar vorhergehenden NtCreateJobObject und jedem NtSetInformationJobObject korreliert werden, der BREAKAWAY_OK oder KILL_ON_JOB_CLOSE gesetzt hat. Hochwertige Detektion: ein Prozess, der sich selbst einem frischen Job zuweist und anschließend sofort Kindprozesse mit CREATE_BREAKAWAY_FROM_JOB spawnt — Form eines Sandbox-Escapes, nicht eines normalen Sandbox-Setups.

Direkte Syscall-Beispiele

; Direct syscall stub for NtAssignProcessToJobObject (SSN 0x91 on Win11 24H2 / Server 2025)
NtAssignProcessToJobObject PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 091h         ; SSN for win11-24h2
    syscall
    ret
NtAssignProcessToJobObject ENDP

// Continued from NtCreateJobObject / NtSetInformationJobObject sandbox setup.
// Spawn the target suspended, attach to the job, only then resume.
PROCESS_INFORMATION pi = { 0 };
STARTUPINFOW si = { sizeof(si) };
CreateProcessW(L"C:\\Windows\\System32\\notepad.exe",
               NULL, NULL, NULL, FALSE,
               CREATE_SUSPENDED,
               NULL, NULL, &si, &pi);

NTSTATUS s = NtAssignProcessToJobObject(hJob, pi.hProcess);
if (!NT_SUCCESS(s)) {
    TerminateProcess(pi.hProcess, 1);
    return s;
}

NtResumeThread(pi.hThread, NULL);   // job limits are now in effect for the child

// Cargo: windows-sys = "0.59"  (Win32_System_JobObjects)
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_assign_process_to_job_object_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x91",    // Win11 24H2; resolve dynamically for other builds
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗
• T1564Hide Artifactsmitre ↗