NtCreateTimer2

Prototyp

NTSTATUS NtCreateTimer2(
  PHANDLE            TimerHandle,
  PVOID              Reserved1,
  PVOID              Reserved2,
  POBJECT_ATTRIBUTES ObjectAttributes,
  ULONG              Attributes,
  ACCESS_MASK        DesiredAccess
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 CC 00 00 00      mov eax, 0xCC
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Eingeführt in Windows 10 1507 als Kernel-Backend für das **Threadpool-Timer-v2**-Subsystem (`CreateThreadpoolTimer` / `SetThreadpoolTimer`). Anders als das alte `NtCreateTimer` fasst Timer2 in einem einzigen Erzeugungs-Schritt zusammen, was früher mehrere Flags und Folgeaufrufe verlangte: die `Attributes`-Maske deklariert vorab, ob der Timer Manual-Reset ist und ob er einen *Hochauflösungs*-Tick (Sub-Millisekunde) aus der High-Resolution-Queue des Kernels anfordert. Intern allokiert `ExCreateTimer2` einen `EX_TIMER` statt eines reinen `KTIMER`, wird an `PspHostSiloGlobals` gehängt und über den Second-Generation-Pfad `KiProcessExpiredTimerList` getrieben. Die beiden `Reserved`-Slots sind Überbleibsel des ursprünglichen WDDM-Designs mit Kernel-seitigem Completion-Callback.

Häufige Malware-Nutzung

Die Timer2-Familie ist das **moderne Sleep-Mask-Substrat** der Wahl für Evasion-Forscher, die Windows 10 1809+ ins Visier nehmen: Sie produziert *weniger* Telemetrie als das alte Paar `NtCreateTimer` + `NtSetTimer`, weil das `EX_TIMER`-Objekt nicht in denselben Sysmon/ETW-Handle-Creation-Pfaden auftaucht, die einige EDR-Hersteller überwachen. Mehrere **PoolParty**-Varianten (SafeBreach, BlackHat EU 2023) — speziell die, die auf Threadpool-Interna pivotieren — bevorzugen `NtCreateTimer2`, weil das resultierende `TpTimer`-Objekt vollständig im privaten Threadpool-Zustand lebt und naive Timer-Handle-Enumeration umgeht. Dieselbe Primitive trägt den Timer2-Zweig der Sleep-Mask-Familien **Cronos** und **Zilean** (2024er Forks von Ekko), die den Hochauflösungsmodus nutzen, um das verschlüsselte RWX-Fenster von Millisekunden auf Mikrosekunden zu verkürzen.

Erkennungs­möglichkeiten

Es gibt kein Sysmon-Event für Timer2-Erzeugung. Der hochfidele Blue-Team-Ansatz ist ETW `Microsoft-Windows-Kernel-EventTracing` plus `Microsoft-Windows-Threading` (Provider `{8a2b7ef8-7d7e-4f1a-a8b8-65b0e9eb...}`) kombiniert mit Stack-Walk der `NtCreateTimer2`-Aufrufer: Legitime Nutzung kommt fast ausschließlich von `ntdll!TppTimerCreate`, aufgerufen durch `kernel32!CreateThreadpoolTimer` — alles andere (insbesondere Aufrufer in privatem RWX-Speicher) ist verdächtig. Reife EDRs erkennen Ekko-abgeleitete Sleep-Masks, indem sie Threadpool-`TP_TIMER`-Listen bei periodischen Scans snapshotten und Timer markieren, deren `Callback`-Pointer in nicht-gemapptem Speicher liegt — unabhängig davon, welche `NtCreateTimer*`-Variante sie erzeugt hat.

Direkte Syscall-Beispiele

; Direct syscall stub for NtCreateTimer2 (SSN 0xCC on Win11 24H2 / Server 2025)
NtCreateTimer2 PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0CCh         ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtCreateTimer2 ENDP

// Single call sets up a high-res manual-reset Timer2 — Ekko-style designs
// previously needed NtCreateTimer + NtSetTimerEx for the same configuration.
#define TIMER_TYPE_MANUAL_RESET     0x1
#define TIMER_TYPE_HIGH_RESOLUTION  0x2

HANDLE hTimer = NULL;
NTSTATUS st = NtCreateTimer2(&hTimer,
                             NULL, NULL,
                             NULL,
                             TIMER_TYPE_MANUAL_RESET | TIMER_TYPE_HIGH_RESOLUTION,
                             TIMER_ALL_ACCESS);
if (!NT_SUCCESS(st)) return st;
// Arm with NtSetTimer2 next, then wait alertably; APC delivers the sleep-mask stage.

// Cargo: windows-sys = "0.59" (Win32_System_Threading)
use windows_sys::Win32::System::Threading::{
    CreateThreadpoolTimer, PTP_TIMER, PTP_CALLBACK_INSTANCE,
};
use std::ptr::null_mut;

unsafe extern "system" fn tick(_inst: PTP_CALLBACK_INSTANCE, _ctx: *mut core::ffi::c_void, _t: PTP_TIMER) {}

// Underlying transition: ntdll!TppTimerCreate -> NtCreateTimer2(HIGH_RESOLUTION).
unsafe fn make() -> PTP_TIMER {
    CreateThreadpoolTimer(Some(tick), null_mut(), null_mut())
}

MITRE ATT&CK-Mappings

• T1027.011Fileless Storagemitre ↗
• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗