NtCreateThread

Prototyp

NTSTATUS NtCreateThread(
  PHANDLE            ThreadHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  HANDLE             ProcessHandle,
  PCLIENT_ID         ClientId,
  PCONTEXT           ThreadContext,
  PINITIAL_TEB       InitialTeb,
  BOOLEAN            CreateSuspended
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 4E 00 00 00      mov eax, 0x4E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtCreateThread ist die ursprüngliche, vor Vista eingeführte Thread-Erzeugungsprimitive. Im Gegensatz zu ihrem Nachfolger NtCreateThreadEx ist sie in den öffentlichen Headern undokumentiert und zwingt den Aufrufer, eine INITIAL_TEB von Hand aufzubauen — mit Stack-Base, Stack-Limit und Allocation-Base — sowie einen vollständig gefüllten CONTEXT mit RIP/RSP. Die SSN `0x4E` ist über alle unterstützten Windows 10- und Windows 11-Builds stabil geblieben, was ungewöhnlich ist und widerspiegelt, dass Microsoft an dieser Oberfläche nichts mehr ändert. Der Kernel implementiert sie weiterhin aus Kompatibilitätsgründen, doch Win32 CreateThread, RtlCreateUserThread und NtCreateThreadEx dispatchen heute alle über NtCreateThreadEx.

Häufige Malware-Nutzung

Verwendet von älteren Injection-Tools, die vor den Attribute-Listen von NtCreateThreadEx entstanden — einige PassTheHash-Varianten, frühe Token-Stealing-Primitiven von Mimikatz und historische Alternativen zu CreateRemoteThread. Eine kleine Untermenge moderner Offensiv-Tools wählt NtCreateThread bewusst, weil so wenige EDRs sie hooken: die API wird von legitimer Software so selten genutzt, dass die Herstellerabdeckung lückenhaft ist und sie zu einem Nischen-Bypass gegen naive Userland-Hook-Stacks wird. Der Preis ist, dass der Aufrufer im Zielprozess einen Stack allokieren und zusammenfügen muss, bevor er den Aufruf absetzt.

Erkennungs­möglichkeiten

ETW Microsoft-Windows-Threat-Intelligence emittiert ThreadCreate-Events aus PspInsertThread heraus, unabhängig davon, ob der Userland-Einstiegspunkt NtCreateThread oder NtCreateThreadEx war — die kernelseitige Telemetrie ist also identisch. Sysmon Event ID 8 (CreateRemoteThread) feuert ebenfalls bei jeder prozessübergreifenden Thread-Injektion. Der einzige sinnvolle Diskriminator liegt im Userland: ein EDR, das nur ntdll!NtCreateThreadEx hookt, übersieht Pfade über NtCreateThread. Verteidiger sollten beide Stubs instrumentieren und die seltene Kombination NtCreateThread + Remote-ProcessHandle beobachten.

Direkte Syscall-Beispiele

; Direct syscall stub for NtCreateThread (SSN 0x4E, Win10 1507+ through Win11 24H2)
NtCreateThread PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 4Eh          ; SSN
    syscall
    ret
NtCreateThread ENDP

// Caller must allocate stack in the target process and populate both CONTEXT and INITIAL_TEB.
typedef struct _INITIAL_TEB {
    PVOID PreviousStackBase;
    PVOID PreviousStackLimit;
    PVOID StackBase;
    PVOID StackLimit;
    PVOID AllocatedStackBase;
} INITIAL_TEB, *PINITIAL_TEB;

SIZE_T stackSize = 0x10000;
PVOID  remoteStack = NULL;
NtAllocateVirtualMemory(hProcess, &remoteStack, 0, &stackSize,
                        MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);

INITIAL_TEB teb = { 0 };
teb.StackBase          = (PBYTE)remoteStack + stackSize;
teb.StackLimit         = remoteStack;
teb.AllocatedStackBase = remoteStack;

CONTEXT ctx = { 0 };
ctx.ContextFlags = CONTEXT_FULL;
ctx.Rip = (DWORD64)pShellcode;
ctx.Rsp = (DWORD64)teb.StackBase - 0x28;

HANDLE   hThread = NULL;
CLIENT_ID cid    = { 0 };
NtCreateThread(&hThread, THREAD_ALL_ACCESS, NULL, hProcess,
               &cid, &ctx, &teb, FALSE);

// Cargo: windows-sys = "0.59"
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_create_thread_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x4E",
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗