NtQuerySystemTime

Prototyp

NTSTATUS NtQuerySystemTime(
  PLARGE_INTEGER SystemTime
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 5A 00 00 00      mov eax, 0x5A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Moderner Code liest `KUSER_SHARED_DATA.SystemTime` (`0x7FFE0014`) direkt ohne Syscall — `GetSystemTimeAsFileTime` macht genau das im User-Mode. `NtQuerySystemTime` existiert für Aufrufer, die einen vom Kernel autoritativen Wert brauchen (kryptografische Zeitstempel, Debugger, Tests, die den Dispatcher durchlaufen müssen). Der SSN ist über alle ausgelieferten Win10/11-Builds hinweg `0x5A` geblieben.

Häufige Malware-Nutzung

Klassischer Einsatz: Sandbox-Beschleunigungs-Erkennung — `NtQuerySystemTime` mit `NtDelayExecution` paaren, um zu prüfen, ob der Fortschritt der Wanduhr dem geforderten Sleep entspricht. Viele automatisierte Sandboxes hooken oder überspringen `Sleep`, um die Analyse zu beschleunigen — sie fälschen aber selten `KeQuerySystemTime`, sodass die Differenz die Manipulation aufdeckt. Besonders defensives Malware liest zusätzlich `KUSER_SHARED_DATA.SystemTime` *und* ruft `NtQuerySystemTime` auf; eine Diskrepanz deutet auf eine manipulierte Shared Page hin. Wird außerdem als unauffällige Entropiequelle für RNG-Seeds in Stagern genutzt.

Erkennungs­möglichkeiten

Isoliert kaum alarmierbar — eine der meistgerufenen Native APIs in legitimer Software. Interessant ist die *Sequenz*: kurzes `NtDelayExecution`, sofort gefolgt von `NtQuerySystemTime`, in einer Schleife, aus einem Prozess ohne UI. ETW-Traces `Microsoft-Windows-Kernel-Process` mit Stack-Walking machen das sichtbar. Das Lesen von `KUSER_SHARED_DATA.SystemTime` aus dem User-Mode ist für Syscall-Tracing-Tools komplett unsichtbar — deshalb bevorzugt evasive Malware diesen Weg, wenn eine ungefähre Uhrzeit reicht.

Direkte Syscall-Beispiele

; Direct syscall stub for NtQuerySystemTime (SSN 0x5A, all Win10/11 builds)
NtQuerySystemTime PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 5Ah          ; SSN
    syscall
    ret
NtQuerySystemTime ENDP

// If KUSER_SHARED_DATA.SystemTime and NtQuerySystemTime disagree by
// more than a few seconds, the analysis environment has tampered
// with the shared page or with the syscall path.
#include <windows.h>
#include <winternl.h>

extern "C" NTSTATUS NTAPI NtQuerySystemTime(PLARGE_INTEGER);

BOOL SharedPageTamperedWith(void) {
    LARGE_INTEGER shared, kernel;
    // KUSER_SHARED_DATA.SystemTime is a tick-incrementing 8-byte field
    shared.QuadPart = *(volatile LONGLONG*)0x7FFE0014;
    NtQuerySystemTime(&kernel);
    LONGLONG deltaSec = (kernel.QuadPart - shared.QuadPart) / 10000000LL;
    return deltaSec > 5 || deltaSec < -5;
}

// Pair NtQuerySystemTime with NtDelayExecution to detect sandbox-accelerated sleeps.
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_query_system_time(_out: *mut i64) -> i32 {
    asm!("mov r10, rcx", "mov eax, 0x5A", "syscall", "ret", options(noreturn));
}
#[unsafe(naked)]
unsafe extern "system" fn nt_delay_execution(_a: u8, _i: *const i64) -> i32 {
    asm!("mov r10, rcx", "mov eax, 0x34", "syscall", "ret", options(noreturn));
}

pub fn sleep_was_skipped(seconds: i64) -> bool {
    let (mut t0, mut t1): (i64, i64) = (0, 0);
    let interval = -seconds * 10_000_000;
    unsafe {
        nt_query_system_time(&mut t0);
        nt_delay_execution(0, &interval);
        nt_query_system_time(&mut t1);
    }
    ((t1 - t0) / 10_000_000) < seconds - 1
}

MITRE ATT&CK-Mappings

• T1497Virtualization/Sandbox Evasionmitre ↗
• T1497.003Time Based Evasionmitre ↗
• T1106Native APImitre ↗