NtOpenEvent

Prototyp

NTSTATUS NtOpenEvent(
  PHANDLE            EventHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 40 00 00 00      mov eax, 0x40
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Öffnet ein bestehendes Event-Objekt anhand seines Namens und liefert STATUS_OBJECT_NAME_NOT_FOUND, wenn der Name nie erzeugt wurde. SSN `0x40` ist über jeden ausgelieferten Win10/11-Build stabil. Das Lookup geschieht in `ObOpenObjectByName` unter dem in `ObjectAttributes->RootDirectory` angegebenen Directory (üblicherweise `\BaseNamedObjects` oder ein sitzungslokales `\Sessions\<n>\BaseNamedObjects`). Das gelieferte Handle ist unabhängig vom Lebenszyklus des Erzeugers — sobald Erzeuger und Öffner ihr Handle schließen, wird das Kernelobjekt freigegeben.

Häufige Malware-Nutzung

Prozessübergreifende Implant-Koordination: ein Stager erzeugt ein benanntes Event, das persistente Modul öffnet es, um zu wissen, wann es loslegen soll; oder ein Watchdog öffnet das Event, um festzustellen, dass der Haupt-Payload noch lebt. In Named-Pipe-C2 (Brute Ratel, Sliver-Pivots) öffnet die Serverseite das Event, das der Client signalisiert, sobald Bytes bereitstehen, und vermeidet Busy-Wait. Manche Loader öffnen einen wohlbekannten Event-Namen als Kill-Switch / Sandbox-Sonde — existiert das Event, ist eine Analyseumgebung erkannt (verallgemeinertes WannaCry-Guardrail).

Erkennungs­möglichkeiten

Ein Event zu öffnen ist für sich genommen sehr häufig und harmlos. Das starke Signal sind Öffnungen mit verdächtigen Namen (Zufalls-GUIDs, familienbekannte Strings wie `Global\Ekko*`, `Global\BR4*`) oder aus einem Prozess, dessen Parent-Kette nicht die des Erzeugers ist. ETW-`Microsoft-Windows-Kernel-Object`-`OpenHandle`-Events legen das offen. EDRs, die `OBJECT_ATTRIBUTES.ObjectName` bei jedem Nt*-Open-Aufruf auflösen (nicht nur auf Win32-Ebene), erfassen Direct-Syscall-Varianten, die `OpenEventW`-Hooks umgehen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtOpenEvent (SSN 0x40, stable across Win10/11)
NtOpenEvent PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 40h          ; SSN
    syscall
    ret
NtOpenEvent ENDP

UNICODE_STRING name;
RtlInitUnicodeString(&name, L"\\BaseNamedObjects\\Global\\BeaconReady");
OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE hEvent = NULL;
NTSTATUS st = NtOpenEvent(&hEvent, EVENT_MODIFY_STATE | SYNCHRONIZE, &oa);
if (st == STATUS_OBJECT_NAME_NOT_FOUND) {
    // creator side hasn't started yet
}

// Cargo: windows-sys = "0.59"
use windows_sys::Win32::System::Threading::{OpenEventW, EVENT_MODIFY_STATE};
use windows_sys::core::w;

unsafe fn looks_like_sandbox() -> bool {
    // Many analyst VMs pre-create well-known names; presence reveals instrumentation.
    !OpenEventW(EVENT_MODIFY_STATE, 0, w!("Global\\CuckooEventMutex")).is_null()
}

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗
• T1497Virtualization/Sandbox Evasionmitre ↗
• T1480Execution Guardrailsmitre ↗