NtResetEvent

Prototyp

NTSTATUS NtResetEvent(
  HANDLE  EventHandle,
  PLONG   PreviousState
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 87 01 00 00      mov eax, 0x187
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtResetEvent ist die Umkehrung von NtSetEvent: Es setzt ein Event-Objekt in den nicht-signalisierten Zustand und liefert optional den *vorherigen* Zustand via `PreviousState` zurück. Der Unterschied zu NtClearEvent (das denselben Drop ausführt, aber den Vorzustand verwirft) liegt allein darin, ob der Caller den vorherigen Wert braucht — nützlich für Test-and-Clear-Semantik ohne einen zusätzlichen NtQueryEvent-Roundtrip. Die Kernel-Routine `KeResetEvent` liegt sowohl NtResetEvent als auch NtClearEvent zugrunde.

Häufige Malware-Nutzung

Verbreitet in *Sleep-Mask*- und *Event-getriebenen Idle-Loops* moderner Beacons. Typisches Muster: Das Implant signalisiert vor dem Schlafen ein Event via NtSetEvent und setzt es beim Aufwachen via NtResetEvent zurück, um für die nächste Iteration bereit zu sein. Cobalt Strikes benutzerdefinierte Sleep Mask, Sleepmask-rs und diverse Sliver-Post-Ex-Module nutzen NT-Event-Primitiven so, um den offensichtlichen Timing-Fingerabdruck von `NtDelayExecution` zu vermeiden. Auch in Worker-Thread-Schleifen anzutreffen, die auf einem Master-Signal gaten.

Erkennungs­möglichkeiten

NtResetEvent ist in legitimen Code *äußerst* häufig (jede CRITICAL_SECTION bei Contention, jeder Async-I/O-Completion-Teardown), liefert für sich also kein Signal. Entscheidend ist die Korrelation: Kurze sich wiederholende `NtCreateEvent → NtSetEvent → NtWait → NtResetEvent`-Zyklen aus einem einzelnen Thread mit RWX-Stackregion oder mit der Aufrufsequenz innerhalb eines heap-allokierten Buffers passen zu einer Sleep-Mask. ETW Threat Intelligence (`Microsoft-Windows-Threat-Intelligence`) surft einige Context-Switch- und Wait-Übergänge, die korreliert werden können; sonst Stack-Walking-Telemetrie nutzen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtResetEvent (SSN 0x187 on Win11 24H2)
NtResetEvent PROC
    mov  r10, rcx          ; EventHandle
    mov  eax, 187h         ; SSN — verify per-build
    syscall
    ret
NtResetEvent ENDP

// Atomically clear hEvent and learn whether it was previously signaled.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtResetEvent)(HANDLE, PLONG);

BOOL ConsumeOneShot(HANDLE hEvent) {
    LONG prev = 0;
    pNtResetEvent fn = (pNtResetEvent)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtResetEvent");
    NTSTATUS s = fn(hEvent, &prev);
    return (s >= 0) && (prev != 0);
}

// Cargo: windows-sys = "0.59", ntapi = "0.4"
// Toy sleep-mask loop: park on event, decrypt-process-encrypt, reset, repeat.
use ntapi::ntpsapi::NtResetEvent;
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::System::Threading::WaitForSingleObject;

unsafe fn beacon_loop(wake: HANDLE) {
    loop {
        WaitForSingleObject(wake, u32::MAX);   // park
        // ... unmask payload, run task, remask payload ...
        let mut prev: i32 = 0;
        NtResetEvent(wake, &mut prev);          // rearm for next pulse
    }
}

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗
• T1027.013Encrypted/Encoded Channel — Sleep maskmitre ↗