NtGetNextThread

Prototyp

NTSTATUS NtGetNextThread(
  HANDLE      ProcessHandle,
  HANDLE      ThreadHandle,
  ACCESS_MASK DesiredAccess,
  ULONG       HandleAttributes,
  ULONG       Flags,
  PHANDLE     NewThreadHandle
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1                  mov r10, rcx
B8 01 01 00 00            mov eax, 0x101
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03                     jne short +3
0F 05                     syscall
C3                        ret
CD 2E                     int 2Eh
C3                        ret

Undokumentierte Hinweise

NtGetNextThread iteriert das ThreadListHead des in ProcessHandle geöffneten EPROCESS. Sie ist das Thread-Pendant zu NtGetNextProcess und hat ebenfalls keinen dokumentierten Win32-Wrapper — `Thread32First`/`Thread32Next` laufen über die Toolhelp-Snapshot-Mechanik. Jeder Aufruf liefert ein neues Kernel-Handle, das der Aufrufer schließen muss (außer wenn STATUS_NO_MORE_ENTRIES den Lauf beendet). Die Funktion akzeptiert `PROCESS_QUERY_LIMITED_INFORMATION`, wenn der Aufrufer keine stärkeren Rechte am Prozess braucht, doch der gewünschte *Thread*-Zugriff muss von Anfang an angefordert werden — das Handle ist nicht ohne Weiteres aufrüstbar.

Häufige Malware-Nutzung

Wird zusammen mit NtGetNextProcess verwendet, um jeden Thread im System ohne Toolhelp32 zu enumerieren. Die PoolParty-Injection-Familie (die Thread-Pool-Internals missbraucht) iteriert die Worker-Threads des Pools mit genau diesem API-Paar, um einen Ziel-TP_WORKER-Thread zum Hijack zu finden. Auch von verdeckten Thread-Hijacking-Implants genutzt, die einen Opfer-Thread auswählen, dessen Kontext mit NtGetContextThread schnappen, RIP modifizieren und fortsetzen — alles ohne OpenThread per TID. `Thread32First/Next` zu meiden ist relevant, weil Toolhelp eine `_THSnapshot`-Section anlegt, die für Handle-Table-Inspektoren sichtbar ist.

Erkennungs­möglichkeiten

Wie NtGetNextProcess hat dieser Syscall geringes Hintergrundrauschen — die meisten legitimen Prozessenumeratoren nutzen PSAPI oder Toolhelp. Eine Häufung von NtGetNextThread-Aufrufen aus einem einzelnen Nicht-Systemprozess ist verdächtig. Threat-Hunting-Queries, die ETW Microsoft-Windows-Kernel-Process (Thread-Erzeugung) mit dem *Fehlen* erwarteter Toolhelp-Section-Erzeugungen kombinieren, können dieses Muster aufdecken. Sysmon Event ID 8 (CreateRemoteThread) feuert beim nachfolgenden Hijack nur, wenn ein neuer Thread erzeugt wird, nicht bei Kontextwechsel-Hijacks — das hochwertige Signal ist daher NtSetContextThread gegen einen fremden Thread unmittelbar nach der Enumeration.

Direkte Syscall-Beispiele

// Walk every thread of a given process without Toolhelp32.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *PNT_GET_NEXT_THREAD)(HANDLE, HANDLE, ACCESS_MASK, ULONG, ULONG, PHANDLE);

void EnumerateThreads(HANDLE hProcess) {
    HMODULE nt = GetModuleHandleA("ntdll.dll");
    PNT_GET_NEXT_THREAD pNtGetNextThread = (PNT_GET_NEXT_THREAD)GetProcAddress(nt, "NtGetNextThread");

    HANDLE hThread = NULL;
    HANDLE hNext   = NULL;
    while (pNtGetNextThread(hProcess, hThread, THREAD_GET_CONTEXT | THREAD_SET_CONTEXT | THREAD_SUSPEND_RESUME,
                            0, 0, &hNext) == 0) {
        if (hThread) CloseHandle(hThread);
        hThread = hNext;
        // ... inspect TEB / GetThreadContext / hijack candidate ...
    }
    if (hThread) CloseHandle(hThread);
}

NtGetNextThread PROC
    mov  r10, rcx
    mov  eax, 101h
    syscall
    ret
NtGetNextThread ENDP

MITRE ATT&CK-Mappings

• T1057Process Discoverymitre ↗
• T1055.003Thread Execution Hijackingmitre ↗
• T1106Native APImitre ↗