NtCancelTimer

Prototyp

NTSTATUS NtCancelTimer(
  HANDLE    TimerHandle,
  PBOOLEAN  CurrentState
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 61 00 00 00      mov eax, 0x61
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtCancelTimer entwaffnet einen zuvor mit NtSetTimer bewaffneten Timer. Der Out-Parameter `CurrentState` meldet, ob das Cancel mit dem Ablauf konkurriert hat: TRUE bedeutet, der Timer stand noch in der Pending-Liste des Dispatchers (Cancel hat gewonnen), FALSE bedeutet, der Timer ist vor dem Syscall gefeuert (und jede APC-Routine wurde bereits eingereiht oder ausgeführt). SSN `0x61` ist über alle Windows-10/11-Builds eingefroren. Die Kernel-Routine `KeCancelTimer` liegt zugrunde.

Häufige Malware-Nutzung

Gepaart mit NtSetTimer in *Sleep-Mask*- und *Delayed-Execution*-Implant-Designs. Typischer Lifecycle: NtCreateTimer + NtSetTimer (Period + APC) → Implant-Arbeit → NtCancelTimer + NtClose im Teardown, um den periodischen APC-Fire zu entfernen, der sonst weiter in freigegebenen Shellcode dispatchen würde. Manche Implants nutzen NtCancelTimer auch zur *adaptiven* Neuplanung von Sleep-Intervallen — die aktuelle Bewaffnung canceln und NtSetTimer mit neuer DueTime in Reaktion auf einen C2-Befehl aufrufen. Keine offensive Primitive für sich; das Signal liegt in der *Paarung* mit NtSetTimer / NtQueueApcThread.

Erkennungs­möglichkeiten

Wie die anderen Event-/Timer-Primitiven ist NtCancelTimer hochfrequenter legitimer Verkehr. Das Detektionssignal ist das *Paar*: NtSetTimer mit einer Nicht-NULL-`TimerApcRoutine`, die in eine RWX- oder unbacked-Region zeigt, gefolgt von einem NtCancelTimer auf demselben Handle bei Prozessende oder Teardown. ETW-Provider `Microsoft-Windows-Kernel-EventTracing` und das Legacy-Flag `KernelTimer` von `Microsoft-Windows-Kernel-Process` liefern Kontext.

Direkte Syscall-Beispiele

; Direct syscall stub for NtCancelTimer (SSN 0x61, stable Win10 1507+)
NtCancelTimer PROC
    mov  r10, rcx          ; TimerHandle
    mov  eax, 61h          ; SSN
    syscall
    ret
NtCancelTimer ENDP

// Implant shutdown: disarm the periodic APC timer that ticks our sleep mask.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtCancelTimer)(HANDLE, PBOOLEAN);

void TeardownSleepMask(HANDLE hTimer) {
    BOOLEAN wasPending = FALSE;
    pNtCancelTimer fn = (pNtCancelTimer)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtCancelTimer");
    fn(hTimer, &wasPending);
    // wasPending == FALSE => the APC has already queued; flush APCs with a brief alertable wait.
    NtClose(hTimer);
}

// Cargo: ntapi = "0.4"
use ntapi::ntexapi::{NtCancelTimer, NtSetTimer};
use winapi::shared::ntdef::{BOOLEAN, HANDLE, LARGE_INTEGER};

unsafe fn reschedule(timer: HANDLE, new_due_100ns: i64) {
    let mut was_pending: BOOLEAN = 0;
    NtCancelTimer(timer, &mut was_pending);

    let mut due: LARGE_INTEGER = std::mem::zeroed();
    *due.QuadPart_mut() = -new_due_100ns; // negative = relative
    let mut prev: BOOLEAN = 0;
    NtSetTimer(timer, &mut due, None, std::ptr::null_mut(), 0, 0, &mut prev);
}

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗
• T1027Obfuscated Files or Informationmitre ↗