NtPulseEvent

Prototyp

NTSTATUS NtPulseEvent(
  HANDLE  EventHandle,
  PLONG   PreviousState
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 48 01 00 00      mov eax, 0x148
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtPulseEvent führt ein *Set-dann-Reset* auf einem Event-Objekt als einzige atomare Operation aus. Bei einem Manual-Reset-Event werden *alle* aktuell wartenden Threads freigegeben und das Event sofort wieder auf nicht-signalisiert gesetzt — ein Thread, der eine Mikrosekunde später eintrifft, verpasst den Pulse vollständig. Bei einem Sync-Event (Auto-Reset) wird höchstens ein Waiter freigegeben. Microsoft rät seit Langem von der User-Mode-Nutzung ab, weil das Signal-Fenster Race-anfällig ist: PulseEvent ist weitgehend ein Relikt des ursprünglichen NT-Designs. Der Kernel implementiert es weiterhin (KePulseEvent) und ntoskrnl nutzt es intern in einigen Burst-Signal-Pfaden.

Häufige Malware-Nutzung

Überwiegend *legitim*. Manche Implants und Packer nutzen ein Pulse-Signal, um einen Worker-Thread-Pool in einer einzigen Welle freizugeben (z. B. einen Decryptor-Pool zu orchestrieren). Da die Race-anfällige Semantik von PulseEvent voraussetzt, dass die Waits bereits aktiv sind, wählen Angreifer häufiger NtSetEvent gefolgt von NtResetEvent oder einen gezählten Semaphor. Kein eigenständig aussagekräftiges Detektionssignal.

Erkennungs­möglichkeiten

Kein hochaussagekräftiger Call. Microsoft-Windows-Kernel-EventTracing und die Synchronisations-Objekt-Events surfen PulseEvent nicht separat. EDR-Hooks auf `ntdll!NtPulseEvent` sind unüblich. Nur in Verbindung mit anderen Anomalien untersuchen — etwa ein Pulse auf einem Event, dessen Name (sichtbar via NtQueryObject) verdächtig wirkt oder eine bekannte Synchronisations-Primitive imitiert.

Direkte Syscall-Beispiele

; Direct syscall stub for NtPulseEvent (SSN 0x148 on Win11 24H2)
NtPulseEvent PROC
    mov  r10, rcx          ; EventHandle
    mov  eax, 148h         ; SSN — verify per-build
    syscall
    ret
NtPulseEvent ENDP

// Wake every thread currently parked on hEvent, then immediately drop signaled state.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtPulseEvent)(HANDLE, PLONG);

NTSTATUS PulseBurst(HANDLE hEvent) {
    LONG previous = 0;
    pNtPulseEvent fn = (pNtPulseEvent)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtPulseEvent");
    return fn(hEvent, &previous);
}

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗