NtResumeProcess

Prototyp

NTSTATUS NtResumeProcess(
  HANDLE ProcessHandle
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 8A 01 00 00      mov eax, 0x18A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtResumeProcess ist das Pendant zu NtSuspendProcess und ebenso undokumentiert. Es iteriert EPROCESS ThreadListHead und ruft KeResumeThread auf jedem Eintrag auf; Threads, deren Suspend-Zähler null erreicht, kehren in die Ready-Queue des Dispatchers zurück. Wie sein Gegenstück driftet die SSN fast bei jedem Release (0x161 → 0x18A im unterstützten Fenster) und ist das Pro-Prozess-Äquivalent zu ResumeThread, ohne dass der Aufrufer Threads via Toolhelp / NtGetNextThread enumerieren muss.

Häufige Malware-Nutzung

Erscheint stets gepaart mit NtSuspendProcess. Drei Hauptrollen: (1) Schließen der **Fork-&-Run**-Schleife — nach Injection und Ausführung der Post-Exploitation-Logik in einem Sacrificial-Prozess ruft das Implant NtResumeProcess auf den eigenen Helper auf, falls es sich zwischen Heartbeats selbst suspendiert hat, oder auf den BOF-Thread, sobald das Setup steht; (2) Abschluss des **Process Hollowings**, indem das zuvor suspendierte Ziel wiederbelebt wird, nachdem das bösartige Image platziert und der Thread-Context gepatcht ist; (3) Auftauen der Datenbank-/EDR-Prozesse, die eine Ransomware vor der Verschlüsselung suspendiert hatte, nachdem der Verschlüsselungs-Pass abgeschlossen ist und die Services des Opfers sauber wieder hochkommen sollen (Höflichkeit in Double-Extortion-Szenarien, die die Wiederherstellung vom guten Willen des Operators abhängig machen soll).

Erkennungs­möglichkeiten

Für sich allein ist NtResumeProcess harmlos — jeder Debugger und die Windows-Runtime nutzen es. Verwertbare Telemetrie ist das *Paar*: NtSuspendProcess → Schreiben/Injection → NtResumeProcess vom selben Aufrufer auf dasselbe Ziel innerhalb eines kurzen Fensters, besonders wenn das Ziel ein Sacrificial-Kandidat (rundll32.exe, notepad.exe, RuntimeBroker.exe) ist, der gerade vom selben Aufrufer gespawnt wurde. ETW `Microsoft-Windows-Kernel-Audit-API-Calls` legt Resume-Aufrufe offen, wenn die Audit-Policy es aktiviert; mit Sysmon Event ID 10 (ProcessAccess), das PROCESS_SUSPEND_RESUME-Anforderungen auf Nicht-Kind-Prozesse zeigt, für einen aussagekräftigen Alarm kombinieren.

Direkte Syscall-Beispiele

; Direct syscall stub for NtResumeProcess (SSN 0x18A on 24H2/2025)
; SSN climbs every release — resolve dynamically across builds.
NtResumeProcess PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 18Ah         ; SSN
    syscall
    ret
NtResumeProcess ENDP

// Final step of a process-hollowing routine: after writing the malicious
// image, fixing the suspended thread's RIP and Rcx, we resume everything.
#include <windows.h>

typedef NTSTATUS (NTAPI *pNtResumeProcess)(HANDLE);

void FinishHollow(HANDLE hProcess, HANDLE hThread, CONTEXT *ctx) {
    SetThreadContext(hThread, ctx);

    pNtResumeProcess NtResumeProcess = (pNtResumeProcess)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtResumeProcess");
    NtResumeProcess(hProcess);
}

// Cargo: windows-sys = "0.59"
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::System::Threading::{OpenProcess, PROCESS_SUSPEND_RESUME};

extern "system" { fn NtResumeProcess(handle: HANDLE) -> i32; }

pub unsafe fn thaw(pids: &[u32]) {
    for &pid in pids {
        let h = OpenProcess(PROCESS_SUSPEND_RESUME, 0, pid);
        if !h.is_null() { NtResumeProcess(h); }
    }
}

MITRE ATT&CK-Mappings

• T1055.012Process Injection: Process Hollowingmitre ↗
• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗