NtCreateDebugObject

Prototyp

NTSTATUS NtCreateDebugObject(
  PHANDLE            DebugObjectHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  ULONG              Flags
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 AB 00 00 00      mov eax, 0xAB
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

DebugObject ist die Kernel-Primitive hinter der Win32-Debug-API: kernel32!DebugActiveProcess, WaitForDebugEvent und ContinueDebugEvent arbeiten alle über ein solches Objekt. Ein Prozess kann immer nur an genau einen DebugObject angehängt sein — diese Exklusivität ist die tragende Eigenschaft der gesamten Self-Debug-Anti-Attach-Familie. Die SSN wandert mit fast jedem Feature-Update (0x9A → 0xAB von 1507 bis 24H2); statische Tabellen sind unsicher, dynamisch auflösen. Nach der Erzeugung folgt typischerweise NtCreateDebugObject → NtDebugActiveProcess(Ziel, dbgObj) → NtWaitForDebugEvent-Schleife, optional NtRemoveProcessDebug zum Lösen.

Häufige Malware-Nutzung

Self-Debug-Anti-Attach: Die Malware (oder ein mit DEBUG_PROCESS gestarteter Child-Prozess) hängt sich selbst oder ihr geschütztes Kind an einen eigenen DebugObject. Da Windows nur einen Debug-Port pro Prozess erlaubt, scheitert jeder spätere Attach-Versuch von WinDbg, x64dbg oder dem Attach-on-Crash eines EDRs via DebugActiveProcess mit STATUS_PORT_ALREADY_SET. Kommerzielle Protectoren (Themida, VMProtect, Enigma) bringen dieses Muster mit; ebenso die meisten Crypter, GuLoader-artige Loader und von Donut erzeugte Stager. Der Preis: Die Malware muss Debug-Events nun selbst bedienen, und unbehandelte Exceptions des Debuggees landen in dieser Schleife statt bei WER.

Erkennungs­möglichkeiten

Die Erzeugung eines DebugObject durch einen Nicht-Debugger-Prozess ist auf Workstations ungewöhnlich. Der ETW-Provider Microsoft-Windows-Kernel-Object emittiert Object-Create-Events; mit ImageFileName != bekannten Debuggern (windbg.exe, vsjitdebugger.exe, devenv.exe, ProcMon.exe) korrelieren. Hochwertiges Signal ist das Paar NtCreateDebugObject unmittelbar gefolgt von NtDebugActiveProcess auf Self oder ein frisch gespawntes Kind (besonders mit DEBUG_KILL_ON_CLOSE — das Killen des Debugger-Threads tötet den Loader, klar feindselig). Defender for Endpoint zeigt DebugActiveProcess über den ETW-Threat-Intelligence-Kanal.

Direkte Syscall-Beispiele

// Phase 1: create a DebugObject owned by us, then attach to our own PID.
// Any later DebugActiveProcess() against us will return STATUS_PORT_ALREADY_SET.
typedef NTSTATUS(NTAPI* fnNtCreateDebugObject)(PHANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES, ULONG);
typedef NTSTATUS(NTAPI* fnNtDebugActiveProcess)(HANDLE, HANDLE);

HANDLE g_dbg = NULL;
void InstallSelfDebug(void) {
    HMODULE n = GetModuleHandleA("ntdll.dll");
    fnNtCreateDebugObject pCreate = (fnNtCreateDebugObject)GetProcAddress(n, "NtCreateDebugObject");
    fnNtDebugActiveProcess pAttach = (fnNtDebugActiveProcess)GetProcAddress(n, "NtDebugActiveProcess");
    OBJECT_ATTRIBUTES oa = { sizeof(oa) };
    pCreate(&g_dbg, 0x1F000F /* DEBUG_ALL_ACCESS */, &oa, 0 /* no kill-on-close */);
    pAttach((HANDLE)-1 /* self */, g_dbg);
    // Servicing the debug-event loop on a worker thread is still required so
    // the parent does not deadlock on its own exceptions.
}

; SSN 0xAB on win11-24h2 / winserver-2025. Resolve dynamically across builds.
NtCreateDebugObject PROC
    mov  r10, rcx
    mov  eax, 0ABh
    syscall
    ret
NtCreateDebugObject ENDP

// Cargo: windows-sys = "0.59"
use std::ffi::c_void;
use windows_sys::Win32::System::LibraryLoader::{GetModuleHandleA, GetProcAddress};

type NtCreateDebugObject = unsafe extern "system" fn(
    out_handle: *mut isize,
    desired_access: u32,
    object_attributes: *mut c_void,
    flags: u32,
) -> i32;

pub unsafe fn create_debug_object() -> Option<isize> {
    let ntdll = GetModuleHandleA(b"ntdll.dll\0".as_ptr());
    if ntdll.is_null() { return None; }
    let addr = GetProcAddress(ntdll, b"NtCreateDebugObject\0".as_ptr())?;
    let f: NtCreateDebugObject = std::mem::transmute(addr);
    let mut h: isize = 0;
    let mut oa = [0u8; 48];
    if f(&mut h, 0x1F000F, oa.as_mut_ptr().cast(), 0) == 0 { Some(h) } else { None }
}

MITRE ATT&CK-Mappings

• T1622Debugger Evasionmitre ↗
• T1106Native APImitre ↗