NtClearEvent

Prototyp

NTSTATUS NtClearEvent(
  HANDLE  EventHandle
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 3E 00 00 00      mov eax, 0x3E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtClearEvent ist der schlankste der zustandsändernden Event-Syscalls: Er nimmt nur ein Handle, setzt das Event auf nicht-signalisiert und liefert NTSTATUS. Intern ruft der Kernel dieselbe `KeResetEvent`-Routine wie NtResetEvent — der einzige Unterschied ist, dass NtClearEvent den Vorzustand verwirft, statt ihn zurück nach Userland zu schreiben, was einen Probe und Write auf den `PreviousState`-Pointer einspart. SSN `0x3E` ist über alle Windows-10/11-Builds eingefroren. Der meiste User-Mode-Code erreicht es indirekt über `ResetEvent` in Win32, das tatsächlich auf NtClearEvent (nicht NtResetEvent) dispatcht, wenn der Caller keinen Out-Pointer übergibt.

Häufige Malware-Nutzung

Gleiche Rolle wie NtResetEvent in *Sleep-Mask*- und *Event-paced*-Implant-Schleifen, gewählt, wenn der Caller den Vorzustand nicht braucht und den kleinstmöglichen Syscall-Fußabdruck will. Manche Shellcode-Loader bevorzugen NtClearEvent gegenüber dem Win32-`ResetEvent` gerade weil eine Indirektion weniger existiert, in die ein User-Mode-EDR-Hook einklinken könnte. Ansonsten weit überwiegend legitim.

Erkennungs­möglichkeiten

Wie NtResetEvent ist NtClearEvent hochfrequent legitimer Verkehr und für sich kein Signal. Die Detektionsgeschichte ist identisch: enge `Set→Wait→Clear`-Loops aus unbacked Memory oder aus Threads, deren einzig gemapptes Image verdächtig ist, suchen. ETW unterscheidet Clear und Reset nicht separat. Wenn NtResetEvent am User-Mode-Rand bereits gehookt ist, NtClearEvent ebenfalls hooken — sonst genügt ein einzeiliger Code-Swap, um den Hook zu umgehen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtClearEvent (SSN 0x3E, stable Win10 1507+)
NtClearEvent PROC
    mov  r10, rcx          ; EventHandle
    mov  eax, 3Eh          ; SSN
    syscall
    ret
NtClearEvent ENDP

// One-shot reset; cheaper than ResetEvent because no PreviousState writeback.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtClearEvent)(HANDLE);

NTSTATUS ClearEvt(HANDLE hEvent) {
    pNtClearEvent fn = (pNtClearEvent)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtClearEvent");
    return fn(hEvent);
}

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗
• T1027Obfuscated Files or Informationmitre ↗