NtContinue

Prototyp

NTSTATUS NtContinue(
  PCONTEXT ContextRecord,
  BOOLEAN  TestAlert
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 43 00 00 00      mov eax, 0x43
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

`NtContinue` ist die Exception-Return-Primitive des Kernels — so setzen SEH und `KiUserExceptionDispatcher` die normale Ausführung fort, nachdem ein Handler weitergehen will. Microsoft warnt explizit davor, sie aus User-Mode direkt aufzurufen. Bei Erfolg kehrt sie *nicht* zurück; der Kernel lädt den übergebenen CONTEXT in den Trap-Frame und macht `iretq` zurück in den User-Mode. Der SSN ist über alle ausgelieferten Win10/11-Builds hinweg `0x43` geblieben.

Häufige Malware-Nutzung

Aggressiv von modernen Sleep-Mask-Kits gekapert. Ekko (die kanonische Referenzimplementierung von C5pider) nutzt eine `NtSetTimer`-getriebene APC-Kette, die `NtContinue` mit gefälschten CONTEXT-Records aufruft, um per ROP zwischen Encrypt-Stubs, dem Sleep-Aufruf und Decrypt-Stubs zu springen — ohne den nächsten RIP je auf den Stack zu schreiben, sodass Call-Stack-Walker nur legitime kernel32/ntdll-Frames sehen. Die Technik verallgemeinert jedes `CONTEXT.Rip = <Gadget>`-Spiel: beliebige Ausführung am Ausgang eines indirekten Syscalls, CFG-Umgehung oder Recovery aus einer gefakten Exception. Brute Ratel C4 und mehrere Foliage-Varianten setzen ebenfalls auf `NtContinue` für Zustandswechsel während des Schlafs.

Erkennungs­möglichkeiten

Direkte User-Mode-Aufrufe von `NtContinue` außerhalb des OS-Exception-Pfads sind ungewöhnlich. EDR-Sammler, die `KiUserExceptionDispatcher → NtContinue`-Aufrufstellen walken, können CONTEXTs flaggen, deren `Rip` in private RX/RWX-Speicher zeigt statt in ein geladenes Image. ETW `Microsoft-Windows-Threat-Intelligence` und die in Windows 11 / WDAC-Supplemental-Policies eingeführten call-stack-basierten Schutzmechanismen zielen genau auf dieses Muster. Der charakteristische Geruch: ein Nicht-Microsoft-Modul ruft `NtContinue` mit `ContextFlags = CONTEXT_FULL` auf und `Rip` zeigt in die Datensektion desselben Moduls.

Direkte Syscall-Beispiele

; Direct syscall stub for NtContinue (SSN 0x43, all Win10/11 builds)
NtContinue PROC
    mov  r10, rcx          ; ContextRecord
    mov  eax, 43h          ; SSN
    syscall
    ret
NtContinue ENDP

// Crafted CONTEXT redirects the calling thread to an arbitrary gadget.
// Used by sleep masks to invoke SystemFunction032 / VirtualProtect with
// pre-loaded register arguments, then chain back to NtContinue with the
// next stage's CONTEXT.
#include <windows.h>
#include <winternl.h>

extern "C" NTSTATUS NTAPI NtContinue(PCONTEXT, BOOLEAN);

void JumpTo(PVOID gadget, ULONG64 rcx, ULONG64 rdx, ULONG64 r8) {
    CONTEXT ctx = {0};
    ctx.ContextFlags = CONTEXT_FULL;
    RtlCaptureContext(&ctx);
    ctx.Rcx = rcx;
    ctx.Rdx = rdx;
    ctx.R8  = r8;
    ctx.Rip = (ULONG64)gadget;
    NtContinue(&ctx, FALSE);   // never returns on success
}

// Demonstrates the dangerous primitive: load a fully-controlled CONTEXT and resume.
use std::arch::asm;

#[unsafe(naked)]
pub unsafe extern "system" fn nt_continue(
    _ctx: *const u8,
    _test_alert: u8,
) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x43",
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1027.011Fileless Storagemitre ↗
• T1620Reflective Code Loadingmitre ↗
• T1106Native APImitre ↗