NtCreateMutant

Prototyp

NTSTATUS NtCreateMutant(
  PHANDLE            MutantHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  BOOLEAN            InitialOwner
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 BA 00 00 00      mov eax, 0xBA
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Basiert auf `KeInitializeMutant` in ntoskrnl.exe. Anders als bei Events *driftet* die SSN über Builds (`0xA7` auf 1507 bis `0xBA` auf Win11 24H2 / Server 2025), sodass jede Direct-Syscall-Implementierung dynamische Auflösung benötigt. Ein Mutant gehört genau einem Thread auf einmal und unterstützt rekursive Acquisition; er wird abandoned (Rückgabe `STATUS_ABANDONED_WAIT_0`), wenn der Eigentümer-Thread ohne Freigabe endet — eine crashresistente IPC-Eigenschaft. Die Win32-`CreateMutex`-Familie ruft letztlich diese Routine auf.

Häufige Malware-Nutzung

Single-Instance-Enforcement ist die kanonische Verwendung: beim Start ruft das Implant `NtCreateMutant` mit einem hartkodierten oder hash-abgeleiteten Namen; ist `GetLastError == ERROR_ALREADY_EXISTS` (NT-seitig `STATUS_OBJECT_NAME_COLLISION`), läuft bereits eine Instanz und die neue beendet sich. Öffentliche IOC-Kataloge (Emotet, TrickBot, Qakbot, IcedID, NotPetya, Ryuk, Conti) listen genau deshalb hunderte familienspezifischer Mutex-Namen. Sekundäre Nutzung: Intra-Prozess-Lock-Primitiv zwischen Worker-Modulen sowie Sandbox-Sonde (manche Sandboxes legen bekannte Mutex-Namen vorab an, um einen frühen Exit zu provozieren).

Erkennungs­möglichkeiten

Sysmon Event ID 1 / 11 erfassen Mutex-Erzeugung nicht direkt; Sysmon-Konfigurationen können `<RuleGroup>`-Matches auf `OriginalFileName` enthalten und über ETW korrelieren. Wertvolle Telemetrie: ETW `Microsoft-Windows-Kernel-Object` mit Keyword `Mutant` oder `EvtxEcmd`-Parsing von Object-Manager-Handle-Audits, wenn SACLs auf `\BaseNamedObjects\<Familienname>` gesetzt sind. Mutex-Namen-IOCs bleiben eine der günstigsten und langlebigsten Erkennungswege für Commodity-Malware — Yara-Regeln über Speicher oder Strings fangen die meisten Dropper weiterhin ab.

Direkte Syscall-Beispiele

; Direct syscall stub for NtCreateMutant (SSN 0xBA on Win11 24H2 / Server 2025)
NtCreateMutant PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0BAh         ; SSN (24H2 — resolve dynamically for portability)
    syscall
    ret
NtCreateMutant ENDP

// Refuse to run a second copy. Family-specific mutex name kept in cleartext for clarity.
UNICODE_STRING name;
RtlInitUnicodeString(&name, L"\\BaseNamedObjects\\Global\\{8B4E4-implant-singleton}");
OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE  h = NULL;
NTSTATUS st = NtCreateMutant(&h, MUTANT_ALL_ACCESS, &oa, FALSE);
if (st == STATUS_OBJECT_NAME_COLLISION) { ExitProcess(0); }  // already running

// Cargo: windows-sys = "0.59" (Win32_System_Threading)
use windows_sys::Win32::System::Threading::CreateMutexW;
use windows_sys::Win32::Foundation::{GetLastError, ERROR_ALREADY_EXISTS};
use windows_sys::core::w;
use std::ptr::null;

unsafe fn singleton() -> bool {
    let h = CreateMutexW(null(), 0, w!("Global\\{my-implant-singleton}"));
    !h.is_null() && GetLastError() != ERROR_ALREADY_EXISTS
}

MITRE ATT&CK-Mappings

• T1480Execution Guardrailsmitre ↗
• T1106Native APImitre ↗
• T1497Virtualization/Sandbox Evasionmitre ↗