NtDeleteAtom

Prototyp

NTSTATUS NtDeleteAtom(
  RTL_ATOM Atom
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 D8 00 00 00      mov eax, 0xD8
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Das Gegenstück zu `NtAddAtom`. Jedes erfolgreiche AddAtom auf einen existierenden Namen erhöht einen Refcount; DeleteAtom dekrementiert ihn. Das Atom wird erst physisch aus der globalen Tabelle entfernt, wenn der Zähler null erreicht. Die Win32-Wrapper `GlobalDeleteAtom` und `DeleteAtom` laufen hierher. Es gibt keine prozessweite Buchhaltung — jeder Prozess, der die Atom-ID kennt, kann den Zähler dekrementieren, was sowohl die API-Bequemlichkeit als auch die Cleanup-Gefahr ist. Liefert STATUS_INVALID_HANDLE für eine ID außerhalb des User-Bereichs oder ein nie hinzugefügtes Atom.

Häufige Malware-Nutzung

**Atom-Bombing-Cleanup**: enSilos Original-PoC (Tal Liberman 2016) und die Dridex-Adaption 2017 rufen beide NtDeleteAtom auf den geschmuggelten Shellcode-Atom-IDs auf, nachdem die Ziel-APC die Bytes in den Adressraum des Opfers kopiert hat. Wer das Cleanup auslässt, hinterlässt die Shellcode-Bytes für immer (na ja, bis zum Reboot) in der globalen Atom-Tabelle — ein forensisches Geschenk für jeden Analysten, der `!atom` in WinDbg gegen eine Live-Maschine fährt oder die Atom-Tabelle vor und nach einer vermuteten Injection diff't. Außerhalb Atom-Bomb-Cleanup ist das Signal praktisch null — `NtDeleteAtom` wird täglich millionenfach von legitimen Apps gefeuert, die Window-Klassen, DDE-Topics und IME-Strings registrieren und abreißen.

Erkennungs­möglichkeiten

Für sich allein ist NtDeleteAtom einer der lautesten Syscalls auf einem Windows-Desktop — Explorer, jede WPF/WinForms-App, der Input-Stack, DWM rütteln ständig an der Atom-Tabelle. Der Detection-Pivot ist `NtAddAtom` mit anomalen (langen, binären) Namen; wer auf verdächtigen AddAtom-Traffic alarmiert, bekommt das passende DeleteAtom als Teil desselben Flows umsonst. Die WinDbg-Extension `!atom` lässt sich per LiveKD / lkd skripten, um die globale Tabelle periodisch zu snapshotten und auf Einträge zu diffen, deren Namen kein gültiges UTF-16 sind oder deren Byte-Länge die typische Window-Class-Größe von ~32 Bytes übersteigt — das sind Atom-Bomb-Reste. ETW Microsoft-Windows-Kernel-Audit-API-Calls deckt den Aufruf, jedoch in sehr hohem Volumen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtDeleteAtom (SSN 0xD8 on Win11 24H2)
NtDeleteAtom PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0D8h         ; SSN — varies per build
    syscall
    ret
NtDeleteAtom ENDP

// After NtQueueApcThread has delivered the GlobalGetAtomName APC into the
// target and the shellcode bytes have landed in the victim's buffer,
// scrub the smuggled atom IDs from the global table.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtDeleteAtom)(USHORT);

VOID AtomBombCleanup(const USHORT* ids, ULONG count) {
    pNtDeleteAtom NtDeleteAtom = (pNtDeleteAtom)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtDeleteAtom");
    for (ULONG i = 0; i < count; ++i) {
        // Refcount may be >1 if the OS interned the same string elsewhere
        // — call until the kernel returns STATUS_INVALID_HANDLE.
        while (NtDeleteAtom(ids[i]) == 0) { /* loop */ }
    }
}

// Cargo: windows-sys = "0.59" (Win32_System_DataExchange)
// Symmetric DeleteAtom for a string we registered with GlobalAddAtomW.
use windows_sys::Win32::System::DataExchange::GlobalDeleteAtom;

pub unsafe fn drop_atom(id: u16) {
    // Returns 0 on success — refcount hit zero.
    let _residual = GlobalDeleteAtom(id);
}

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗
• T1070Indicator Removalmitre ↗