NtIsProcessInJob

Prototyp

NTSTATUS NtIsProcessInJob(
  HANDLE ProcessHandle,
  HANDLE JobHandle
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 4F 00 00 00      mov eax, 0x4F
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtIsProcessInJob behält die SSN `0x4F` über alle Windows-10-/11-/Server-Builds — eine bemerkenswerte Stabilität, die ihn ideal für hartkodierte Syscall-Stubs macht. Trotz des Rückgabetyps NTSTATUS exponiert der Win32-Wrapper `IsProcessInJob` einen BOOLEAN-Out-Parameter: der Kernel gibt `STATUS_PROCESS_IN_JOB` (0x00000123) oder `STATUS_PROCESS_NOT_IN_JOB` (0x00000124) zurück, beides `NT_SUCCESS`-Werte, weshalb ein naives `if (NT_SUCCESS(status))` nichts bedeutet. Mit `JobHandle == NULL` läuft der Kernel über den EPROCESS->Job-Zeiger und antwortet zu *irgendeinem* enthaltenden Job; mit einem realen Handle prüft er die verschachtelte Hierarchie des spezifischen Jobs. Die Implementierung ist `PsIsProcessInJob` in ntoskrnl.

Häufige Malware-Nutzung

Der Lehrbuch-Anti-Sandbox-Check. Cuckoo-Sandbox-Monitor steckt das Analyse-Sample in ein Job-Objekt, um Timeouts zu erzwingen und Kindprozesse aufzuräumen; ältere Joe-Sandbox-Versionen taten dasselbe; diverse SOC-Honeypot-Frameworks (Drakvuf-Agent, ANY.RUN-Bridge) hinterlassen Job-Mitgliedschafts-Artefakte. Malware ruft `NtIsProcessInJob(NtCurrentProcess(), NULL)`, und liefert das Ergebnis `STATUS_PROCESS_IN_JOB`, verhält sich der Code gutartig (sauberer Exit, gefälschtes Banner oder Sprung in einen Decoy-Pfad). Der Haken: legitime Ausführungskontexte sind *ebenfalls* job-eingeschlossen — jeder Chrome- / Edge- / Brave-Renderer, jede UWP-App, jede WSL2-Distro, jeder Docker-on-Windows-Container und jeder per Aufgabenplaner gestartete PowerShell-Prozess lebt in einem Job. 'In-Job = Sandbox' hartzukodieren erzeugt daher viele False Positives und wird von modernen Loadern zunehmend zugunsten eines Multi-Signal-Scoring vermieden.

Erkennungs­möglichkeiten

Für sich allein ist NtIsProcessInJob harmlos und extrem häufig — allein Chrome ruft ihn tausendfach pro Sitzung. Der Detektionswert kommt aus dem *Kontext*: eine unsignierte, frisch abgelegte Binary, die in der ersten Sekunde der Ausführung NtIsProcessInJob mit NULL aufruft, unmittelbar gefolgt von `NtTerminateProcess(NtCurrentProcess(), 0)` oder einem langen `NtDelayExecution`, ist eine starke Sandbox-Evasion-Signatur. EDRs hooken den User-Mode-Thunk in kernel32 (`IsProcessInJob`), aber ein direkter Syscall umgeht ihn. Sysmon hat kein dediziertes Event; die beste Telemetrie ist ETW Threat-Intelligence für `NtQueryInformation*`-Aufrufe in Kombination mit Process-Tree-Timing. Das Cuckoo-/Joe-Sandbox-Detection-Problem ist gut erforscht — moderne Sandboxes starten das Sample *außerhalb* ihres Monitor-Jobs (per DETACHED_PROCESS oder Reparenting über WMI), genau um diesen Check zu schlagen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtIsProcessInJob (SSN 0x4F, all builds)
NtIsProcessInJob PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 4Fh          ; SSN
    syscall
    ret
NtIsProcessInJob ENDP

// Anti-sandbox: bail out if we look like we're inside a monitor job.
// Beware: Chrome renderers, UWP apps and WSL2 all also report in-job.
#include <windows.h>

#define STATUS_PROCESS_IN_JOB     ((NTSTATUS)0x00000123L)
#define STATUS_PROCESS_NOT_IN_JOB ((NTSTATUS)0x00000124L)

typedef NTSTATUS (NTAPI *pNtIsProcessInJob)(HANDLE, HANDLE);

BOOL LooksSandboxed(void) {
    pNtIsProcessInJob NtIsProcessInJob = (pNtIsProcessInJob)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtIsProcessInJob");
    if (!NtIsProcessInJob) return FALSE;
    NTSTATUS s = NtIsProcessInJob((HANDLE)-1, NULL);
    return s == STATUS_PROCESS_IN_JOB;
}

int main(void) {
    if (LooksSandboxed()) { return 0; }  // benign exit
    // ...real payload...
    return 0;
}

// Cargo: windows-sys = "0.59" (Win32_Foundation, Win32_System_Threading)
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::System::Threading::GetCurrentProcess;

const STATUS_PROCESS_IN_JOB: i32 = 0x00000123;

extern "system" {
    fn NtIsProcessInJob(Process: HANDLE, Job: HANDLE) -> i32;
}

fn in_any_job() -> bool {
    unsafe { NtIsProcessInJob(GetCurrentProcess(), std::ptr::null_mut()) == STATUS_PROCESS_IN_JOB }
}

fn main() {
    if in_any_job() {
        // Decoy: print something boring and exit 0.
        println!("hello world");
        return;
    }
    // real_payload();
}

MITRE ATT&CK-Mappings

• T1497.001Virtualization/Sandbox Evasion: System Checksmitre ↗
• T1497Virtualization/Sandbox Evasionmitre ↗
• T1106Native APImitre ↗