NtClose

Prototyp

NTSTATUS NtClose(
  HANDLE Handle
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 0F 00 00 00      mov eax, 0xF
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtClose trägt SSN `0xF` unverändert von Windows 10 1507 bis Windows 11 24H2 — eine der stabilsten Nummern in der Tabelle. Es löst die Referenz auf das zugrunde liegende Objekt über ObCloseHandle aus und wirft die Debug-Exception STATUS_INVALID_HANDLE (0xC0000008), wenn es mit einem ungültigen Handle bei angehängtem Debugger und gesetztem FLG_ENABLE_CLOSE_EXCEPTIONS aufgerufen wird. Trivial in der Form, aber einer der am häufigsten aufgerufenen Syscalls auf einem laufenden System — schlechtes Signal-Rausch-Verhältnis für die Detektion und ein bequemes Versteck für Missbrauch.

Häufige Malware-Nutzung

Zwei klare Nutzungen: (1) Routinehygiene — jeder Loader, Injektor und Credential-Stealer muss seine Handles freigeben, sonst leakt er Referenzen und alarmiert Telemetrie; (2) Anti-Debugging — Aufruf von NtClose mit einem ungültigen Handle (z. B. 0xDEADBEEF) unter einem User-Mode-Debugger erzeugt STATUS_INVALID_HANDLE, das der Debugger zuerst abfängt, woraufhin Malware abbricht oder in Decoy-Logik abzweigt. Der Check ist billig, benötigt keine Imports außerhalb von ntdll und überlebt die meisten automatischen Unpacker.

Erkennungs­möglichkeiten

NtClose allein ist zu rauschig, um darauf zu alarmieren. Nützliche Pivots: hochfrequente NtClose-Sequenzen mit Nicht-SUCCESS-Returns (Heuristik für Anti-Debug-Probing), unausgeglichene NtOpen*/NtClose-Verhältnisse pro Prozess (Handle-Leaks aus schlampigen Injektoren) und ETW Microsoft-Windows-Kernel-Audit-API-Calls. EDRs hooken NtClose in ntdll häufig wegen Referenzzählungskonsistenz; direkte Syscalls umgehen den Hook, hinterlassen aber ObCloseHandle-Spuren, die für Minifilter oder Kernel-Callbacks sichtbar bleiben.

Direkte Syscall-Beispiele

; Direct syscall stub for NtClose (SSN 0xF, all builds)
NtClose PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0Fh          ; SSN
    syscall
    ret
NtClose ENDP

// If a debugger is attached and FLG_ENABLE_CLOSE_EXCEPTIONS is set in the
// process flags, NtClose on a bogus handle raises STATUS_INVALID_HANDLE.
// The debugger swallows the exception first; the malware sees a return code.
#include <windows.h>

typedef NTSTATUS (NTAPI *pNtClose)(HANDLE);

BOOL IsDebuggerPresentViaNtClose(void) {
    pNtClose NtClose = (pNtClose)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtClose");
    __try {
        NtClose((HANDLE)0xDEADBEEF);
    } __except (EXCEPTION_EXECUTE_HANDLER) {
        return FALSE; // exception delivered to us -> no debugger
    }
    return TRUE;      // debugger ate the exception
}

// Cargo: windows-sys = "0.59" (Win32_Foundation, Win32_System_Threading)
use windows_sys::Win32::Foundation::{CloseHandle, HANDLE};

pub struct OwnedHandle(pub HANDLE);

impl Drop for OwnedHandle {
    fn drop(&mut self) {
        if !self.0.is_null() && self.0 as isize != -1 {
            // CloseHandle wraps NtClose; use NtClose directly to bypass
            // ntdll user-mode hooks on EDR-monitored hosts.
            unsafe { CloseHandle(self.0) };
        }
    }
}

MITRE ATT&CK-Mappings

• T1622Debugger Evasionmitre ↗
• T1106Native APImitre ↗