NtSetEvent

Prototyp

NTSTATUS NtSetEvent(
  HANDLE  EventHandle,
  PLONG   PreviousState
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 0E 00 00 00      mov eax, 0xE
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Überführt das Event-Objekt über `KeSetEvent` in ntoskrnl.exe in den signalisierten Zustand. SSN `0x0E` ist über jeden Win10/11-Build stabil. Bei einem `SynchronizationEvent` (Auto-Reset) wird genau ein wartender Thread freigegeben und das Event kehrt sofort in den nicht-signalisierten Zustand zurück; bei einem `NotificationEvent` (manuelles Reset) passieren alle aktuellen und zukünftigen Waiter, bis `NtClearEvent` / `NtResetEvent` aufgerufen wird. Sehr günstig — typischerweise einige hundert Zyklen, wenn kein Waiter freizugeben ist.

Häufige Malware-Nutzung

Die auslösende Hälfte des Sleep-Mask-Musters: die Timer-APC-Routine in Ekko-artigen Ketten ruft `NtSetEvent` auf, um den Implant-Thread bei jeder ROP-Kettenstufe (verschlüsseln → schlafen → entschlüsseln → fortsetzen) aus seinem alertable Wait zu wecken. In Named-Pipe-C2-Designs signalisiert der Producer das Event nach Schreiben in die Pipe, sodass der Consumer eine Polling-Schleife vermeidet. Manche Loader signalisieren zudem ein Kill-Switch-Event, um sauberes Teardown zwischen Modulen zu koordinieren.

Erkennungs­möglichkeiten

`NtSetEvent` allein wird nicht protokolliert und ist allgegenwärtig. Brauchbare Erkennung ist kontextuell: das *Paar* `NtSetEvent` gefolgt von einem `NtWaitForSingleObject` (alertable) auf demselben Handle innerhalb von Mikrosekunden, ausgeführt in einem Thread, dessen Code-RIP in privatem RWX-Speicher liegt, ist ein nahezu pathognomonischer Fingerabdruck für In-Process-Sleep-Masking. ETW Threat Intelligence emittiert kein dediziertes Event für SetEvent; kernelseitige Handle-Korrelation oder Speicherregions-Inspektion an Sleep-Grenzen ist der realistische Weg.

Direkte Syscall-Beispiele

; Direct syscall stub for NtSetEvent (SSN 0x0E, stable across Win10/11)
NtSetEvent PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0Eh          ; SSN
    syscall
    ret
NtSetEvent ENDP

// APC routine attached to an NtSetTimer; signals the wake-up event for the implant.
VOID NTAPI EkkoTimerApc(PVOID ctx, ULONG lo, ULONG hi) {
    (void)lo; (void)hi;
    HANDLE hEvent = (HANDLE)ctx;
    NtSetEvent(hEvent, NULL);   // wakes the alertable WaitForSingleObject in main thread
}

// Cargo: windows-sys = "0.59" (Win32_System_Threading)
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::System::Threading::SetEvent;

unsafe fn signal(h: HANDLE) -> bool {
    SetEvent(h) != 0
}

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗
• T1027.011Fileless Storagemitre ↗
• T1029Scheduled Transfermitre ↗