NtResumeThread

Prototyp

NTSTATUS NtResumeThread(
  HANDLE ThreadHandle,
  PULONG PreviousSuspendCount
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 52 00 00 00      mov eax, 0x52
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Einfacher Wrapper über `KeResumeThread` — dekrementiert `KTHREAD.SuspendCount` und entfernt bei Erreichen von null den Suspend-APC, sodass der Scheduler den Thread wieder einplanen kann. SSN `0x52` ist über alle ausgelieferten Win10/11-Builds stabil. Ein Thread kann mehrfach suspendiert werden: Jeder `NtSuspendThread` erhöht den Zähler, jeder `NtResumeThread` muss ihn dekrementieren, damit der Thread tatsächlich läuft. Das Win32-`ResumeThread` liefert bei Fehler `(DWORD)-1` und bei Erfolg den vorherigen Zählerstand, was direkt auf `PreviousSuspendCount` abbildet.

Häufige Malware-Nutzung

Wird selten allein missbraucht — ist aber der *Trigger* jeder Injection-Technik mit `CREATE_SUSPENDED`. Process Hollowing (RunPE), Process Doppelgänging, Transacted Hollowing, EarlyBird-APC-Injection, Thread Hijacking und Thread-Stack-Spoofing enden alle mit einem `NtResumeThread`, der den platzierten Payload startet. Verteidiger behandeln daher die *Sequenz* `CreateProcess(SUSPENDED)` → unmap/write/queue-APC/set-context → `NtResumeThread` als kanonisches Muster, nicht das Resume isoliert.

Erkennungs­möglichkeiten

Es gibt kein Sysmon-Event für `NtResumeThread` selbst, und der Syscall ist viel zu häufig (jedes `CREATE_SUSPENDED` endet legitim mit einem), um direkt zu alarmieren. Erkennung liegt in der Korrelation: Sieht ein EDR `NtWriteVirtualMemory` oder `NtSetContextThread` gegen einen Thread, gefolgt von `NtResumeThread` aus einem Remote-Prozess, schlägt es einen hochkonfidenten Injection-Alarm. ETW Threat Intelligence emittiert `EtwTiLogSetContextThread`, wenn der Context eines Remote-Threads gepatcht wird — der typische Pivot vor dem Resume. Stack-Walk-Callbacks auf der ersten Usermode-Instruktion nach dem Resume können eine `StartAddress` in privatem RWX-Speicher offenlegen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtResumeThread (SSN 0x52, stable across all Win10/11)
NtResumeThread PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 52h          ; SSN
    syscall
    ret
NtResumeThread ENDP

// After unmapping the original image and writing the payload, resume the suspended
// primary thread to detonate the planted PE.
ULONG prev = 0;
NTSTATUS st = NtResumeThread(pi.hThread, &prev);
if (!NT_SUCCESS(st)) {
    // Resume failed — clean up the hollowed process before EDR notices.
    TerminateProcess(pi.hProcess, 0);
    return st;
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_resume_thread_stub() {
    // SSN 0x52 across every supported build.
    asm!(
        "mov r10, rcx",
        "mov eax, 0x52",
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1055.004Asynchronous Procedure Callmitre ↗
• T1106Native APImitre ↗