NtCreateThreadEx

Prototyp

NTSTATUS NtCreateThreadEx(
  PHANDLE              ThreadHandle,
  ACCESS_MASK          DesiredAccess,
  POBJECT_ATTRIBUTES   ObjectAttributes,
  HANDLE               ProcessHandle,
  PVOID                StartRoutine,
  PVOID                Argument,
  ULONG                CreateFlags,
  SIZE_T               ZeroBits,
  SIZE_T               StackSize,
  SIZE_T               MaximumStackSize,
  PPS_ATTRIBUTE_LIST   AttributeList
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 C2 00 00 00      mov eax, 0xC2     ; win10-22h2 / win11-21h2 differ
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Anders als viele seiner Geschwister hat `NtCreateThreadEx` eine SSN, die *bei jedem Feature-Update wandert*: `0xC2` auf Win10 21H2/22H2, `0xC6` auf Win11 21H2, `0xC7` auf 22H2/23H2, `0xC9` auf 24H2 und Server 2025. Diese Nummer hartzukodieren ist fragil — dynamische Auflösung via Hell's Gate oder Halo's Gate ist dringend empfohlen. Sie ist das Kernel-Arbeitstier hinter `CreateRemoteThread`, `CreateRemoteThreadEx` und `CreateThread`; das ältere `NtCreateThread` ist im Wesentlichen veraltet. Eine `PS_ATTRIBUTE_LIST` mit `PsAttributeIdealProcessor` oder `PsAttributeClientId` erlaubt es, den Thread festzunageln oder ihm eine gefälschte CID zuzuweisen.

Häufige Malware-Nutzung

Der Ausführungsschritt der klassischen Remote-Injection: Nach `NtAllocateVirtualMemory` + `NtWriteVirtualMemory` + `NtProtectVirtualMemory` ist dieser Syscall das, was den Payload im Remote-Prozess tatsächlich startet. Häufig mit `CREATE_SUSPENDED` aufgerufen, damit das Implant per `NtSetContextThread` einen eigenen `CONTEXT` (PEB-Walking, Stack-Spoofing) installiert, bevor `NtResumeThread` folgt. Varianten: `LoadLibraryA` als `StartRoutine` (Old-School-DLL-Injection), `RtlExitUserThread`-Decoys oder eine JOP/ROP-Kette, die im Ziel pivotiert.

Erkennungs­möglichkeiten

Sysmon Event ID 8 (`CreateRemoteThread`) ist das Leitevent — es feuert, sobald Quell- und Zielprozess unterschiedlich sind, mit `SourceImage`, `TargetImage`, `StartAddress` und einem Stack-Hash. ETW Threat Intelligence emittiert `EtwTiLogCreateThread` für Remote-Thread-Erzeugung und wird von großen EDRs konsumiert. Die Kernel-Callbacks `PsSetCreateThreadNotifyRoutine`/`PsSetCreateThreadNotifyRoutineEx` feuern synchron und lassen sich von Userland-Direct-Syscalls nicht umgehen. Eine `StartAddress`, die nicht auf ein geladenes Image zeigt (also in privatem Speicher liegt), ist das stärkste Einzelsignal.

Direkte Syscall-Beispiele

; Direct syscall stub for NtCreateThreadEx (SSN 0xC9 on Win11 24H2 / Server 2025).
; WARNING: this SSN moves between feature updates — prefer dynamic resolution.
NtCreateThreadEx PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0C9h         ; SSN for win11-24h2
    syscall
    ret
NtCreateThreadEx ENDP

// Spawn the thread suspended so we can rewrite RIP / RSP before resuming.
HANDLE  hThread = NULL;
NTSTATUS st = NtCreateThreadEx(&hThread, THREAD_ALL_ACCESS, NULL,
                               hRemote, payload_rva, NULL,
                               THREAD_CREATE_FLAGS_CREATE_SUSPENDED,
                               0, 0, 0, NULL);
if (!NT_SUCCESS(st)) return st;

CONTEXT ctx = { .ContextFlags = CONTEXT_FULL };
NtGetContextThread(hThread, &ctx);
ctx.Rip = (DWORD64)real_entry;        // pivot away from the decoy StartRoutine
NtSetContextThread(hThread, &ctx);
NtResumeThread(hThread, NULL);

// Hardcoding 0xC2/0xC6/0xC7/0xC9 across builds is fragile — resolve at runtime.
typedef NTSTATUS (NTAPI *pNtCreateThreadEx)(
    PHANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES, HANDLE, PVOID, PVOID,
    ULONG, SIZE_T, SIZE_T, SIZE_T, PVOID);

DWORD ssn = GetSyscallNumber(GetProcAddress(GetModuleHandleA("ntdll.dll"),
                                            "NtCreateThreadEx"));
set_ssn(ssn);
indirect_syscall_invoke(/* ... */);

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1055.002Portable Executable Injectionmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1620Reflective Code Loadingmitre ↗