NtOpenThread

Prototyp

NTSTATUS NtOpenThread(
  PHANDLE            ThreadHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  PCLIENT_ID         ClientId
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 39 01 00 00      mov eax, 0x139
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtOpenThread ist der obligatorische erste Schritt für jede Cross-Thread-Manipulation ohne vorhandenes Handle. Die CLIENT_ID-Struktur macht es mächtig: ein Thread lässt sich allein über TID angeben (UniqueProcess = NULL), und der Kernel löst ihn systemweit auf. Die gewährte Access-Mask wird durch PsThreadType->ValidAccessMask und etwaige ObRegisterCallbacks gefiltert. Die meisten EDR-Produkte registrieren genau einen solchen Callback, um gefährliche Rechte (THREAD_SUSPEND_RESUME, THREAD_SET_CONTEXT) zu entfernen, wenn der Quellprozess nicht vertrauenswürdig ist.

Häufige Malware-Nutzung

Pflichtvorstufe nahezu jeder Thread-Level-Injection. Die interessante Frage ist *welche* Access-Mask angefordert wird — `THREAD_GET_CONTEXT | THREAD_SET_CONTEXT | THREAD_SUSPEND_RESUME` ist die kanonische „ich werde dich hijacken“-Kombination. OPSEC-bewusste Loader fordern nur das Nötige: zuerst THREAD_QUERY_LIMITED_INFORMATION zum Enumerieren, dann erneutes Öffnen mit erhöhter Maske nur am gewählten Opfer-Thread. Early-Bird-APC-Varianten öffnen ALERTABLE-Threads, die per NtQuerySystemInformation(SystemProcessInformation) gefunden wurden.

Erkennungs­möglichkeiten

Sysmon Event ID 10 (ProcessAccess) ist das Pendant auf *Prozess*-Seite; für Threads ist das Äquivalent Microsoft-Windows-Kernel-Audit-API-Calls (Event ID 5), das beim zugrunde liegenden ObOpenObjectByPointer feuert. Der trennschärfste Filter ist die Access-Mask: legitime Opens fordern Cross-Process praktisch nie THREAD_SET_CONTEXT (0x10) an. EDRs hooken NtOpenThread üblicherweise per ObRegisterCallbacks (Kernel) und per Inline-Hook (User); Kernel-Callbacks sind aus User-Mode nicht umgehbar und bleiben die maßgebliche Quelle.

Direkte Syscall-Beispiele

CLIENT_ID cid = { .UniqueProcess = (HANDLE)(ULONG_PTR)pid,
                  .UniqueThread  = (HANDLE)(ULONG_PTR)tid };
OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, NULL, 0, NULL, NULL);

HANDLE hThread = NULL;
NTSTATUS st = NtOpenThread(
    &hThread,
    THREAD_GET_CONTEXT | THREAD_SET_CONTEXT | THREAD_SUSPEND_RESUME,
    &oa,
    &cid);
if (!NT_SUCCESS(st)) return st;

NtOpenThread PROC
    mov  r10, rcx
    mov  eax, 139h          ; Win11 24H2 SSN
    syscall
    ret
NtOpenThread ENDP

// Resolve gate address from ntdll!NtOpenThread, then jump rather than execute syscall inline.
// Defeats inline-hook detection that whitelists ntdll-originating syscalls.
unsafe fn nt_open_thread(handle: *mut isize, access: u32,
                         oa: *mut ObjectAttributes, cid: *mut ClientId) -> i32 {
    let ssn: u32 = 0x139;            // Win11 24H2
    let gate: usize = find_syscall_insn("NtOpenThread");
    let r: i32;
    core::arch::asm!(
        "mov r10, rcx",
        "mov eax, {ssn:e}",
        "jmp {gate}",
        ssn = in(reg) ssn, gate = in(reg) gate,
        in("rcx") handle, in("rdx") access, in("r8") oa, in("r9") cid,
        lateout("rax") r,
    );
    r
}

MITRE ATT&CK-Mappings

• T1055.003Thread Execution Hijackingmitre ↗
• T1057Process Discoverymitre ↗
• T1106Native APImitre ↗