NtSetContextThread

Prototyp

NTSTATUS NtSetContextThread(
  HANDLE    ThreadHandle,
  PCONTEXT  ThreadContext
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 9A 01 00 00      mov eax, 0x19A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Die wirkmächtige Hälfte des Kontext-Paares. Der Kernel validiert den CONTEXT — CS muss ein zulässiger User-Mode-Selektor sein, EFlags hat reservierte Bits maskiert, und auf CET-fähigen Systemen (Windows 10 20H2+ mit HW-Shadow-Stack) werden SSP/Ssp-Anpassungen von KeVerifyContextRecord saniert. Die CONTEXT-Struktur ist *architekturspezifisch*: 1232 Bytes auf x64, 716 auf x86, ~880 auf ARM64 — und Wow64SetThreadContext existiert, um x86-auf-x64 zu überbrücken, indem es das 32-Bit-CONTEXT in den entsprechenden WOW64-Bereich schreibt. Auf Builds mit erzwungenem CET können Schreibvorgänge auf Rip, die auf nicht CFG/IBT-getaggten Code zeigen, mit STATUS_SET_CONTEXT_DENIED fehlschlagen.

Häufige Malware-Nutzung

Die kanonische Shellcode-Injection-Primitive (T1055.003 Thread Execution Hijacking). Vollständige Sequenz: NtAllocateVirtualMemory(RWX) → NtWriteVirtualMemory(shellcode) → NtOpenThread → NtSuspendThread → NtGetContextThread → ctx.Rip = shellcode → NtSetContextThread → NtResumeThread. Varianten: (a) Early Bird — eine APC einreihen, dann Kontext setzen, um sie beim ersten alertablen Wait auszulösen. (b) Hardware-Breakpoint-Hooking — DR0..DR3 mit Adressen von Zielfunktionen und DR7 mit Steuerbits schreiben, dann die entstehenden #DB-Exceptions in einem VEH-Handler verarbeiten, um Userland-Hooks zu implementieren, die für Inline-Hook-Scanner unsichtbar sind. (c) CET-Bypass-Versuche, die XSTATE-/Shadow-Stack-Pointer-Felder missbrauchen.

Erkennungs­möglichkeiten

NtSetContextThread auf einen Remote-Thread ist eines der signalstärksten Ereignisse in Windows. Microsoft-Windows-Threat-Intelligence-ETW exponiert EtwTiLogSetContextThread mit Quell-/Ziel-PID und neuem Rip — auf jeden Cross-Process-Aufruf alarmieren, dessen neues Rip auf private (nicht image-backed) Memory zeigt. EDRs hooken üblicherweise im User-Mode per Inline-Patch in ntdll!NtSetContextThread; direkte Syscalls umgehen das, TI-ETW bleibt. CET / Shadow-Stack auf unterstützten CPUs macht das klassische Rip-Umschreiben weniger zuverlässig und bringt fehlgeschlagene Versuche als Bugchecks vom Typ KERNEL_SECURITY_CHECK_FAILURE zu Tage, wenn der Angreifer den neuen Kontext fehlerhaft konfiguriert.

Direkte Syscall-Beispiele

// Assumes shellcode already written to remoteShellcode in target process.
CONTEXT ctx = { .ContextFlags = CONTEXT_FULL };
NtSuspendThread(hThread, NULL);
NtGetContextThread(hThread, &ctx);
ctx.Rip = (DWORD64)remoteShellcode;     // redirect on resume
NtSetContextThread(hThread, &ctx);
NtResumeThread(hThread, NULL);

// Install a userland hook on a target function via DR0 + #DB VEH handler.
CONTEXT ctx = { .ContextFlags = CONTEXT_DEBUG_REGISTERS };
NtGetContextThread(hTargetThread, &ctx);
ctx.Dr0 = (DWORD64)pTargetFn;
ctx.Dr7 = (1ULL << 0)  /* L0 */ |
          (0ULL << 16) /* RW0=00 execute */ |
          (0ULL << 18) /* LEN0=00 1-byte */;
NtSetContextThread(hTargetThread, &ctx);
// AddVectoredExceptionHandler then catches EXCEPTION_SINGLE_STEP at pTargetFn.

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_set_context_thread_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x19A",        // Win11 24H2 SSN
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1055.003Thread Execution Hijackingmitre ↗
• T1055.004Asynchronous Procedure Callmitre ↗
• T1106Native APImitre ↗