NtSetInformationJobObject

Prototyp

NTSTATUS NtSetInformationJobObject(
  HANDLE             JobHandle,
  JOBOBJECTINFOCLASS JobObjectInformationClass,
  PVOID              JobObjectInformation,
  ULONG              JobObjectInformationLength
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 A9 01 00 00      mov eax, 0x1A9
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtSetInformationJobObject ist der Policy-Anwendungs-Syscall für Jobs. Die Enum JobObjectInformationClass wählt, was gesetzt wird: JobObjectExtendedLimitInformation (das Arbeitstier — Limits für Prozesszahl, Working-Set, JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE, JOB_OBJECT_LIMIT_BREAKAWAY_OK, JOB_OBJECT_LIMIT_SILENT_BREAKAWAY_OK), JobObjectBasicUIRestrictions (Clipboard, USER-Handles, Systemparameter sperren — von jeder modernen Sandbox genutzt), JobObjectAssociateCompletionPortInformation (das Job in eine Event-Quelle für JOB_OBJECT_MSG_*-Benachrichtigungen auf einem IOCP verwandeln — „event-driven" Monitoring von Prozessbeendigungen und Limit-Verstößen), JobObjectCpuRateControlInformation und die Win10-Familie `JobObjectNetRateControlInformation`. Die SSN driftet fast bei jedem Feature-Update.

Häufige Malware-Nutzung

Überwiegend defensiv. Das offensive Interesse konzentriert sich auf zwei Ecken: (1) JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE auf einem Job mit den Helfer-Prozessen eines Implants setzen, sodass das Schließen des Implant-Handles alle Artefakte beerdigt — eine Sauberer-Ausstieg-Primitive; (2) JOB_OBJECT_LIMIT_BREAKAWAY_OK oder JOB_OBJECT_LIMIT_SILENT_BREAKAWAY_OK auf einem kontrollierten Job kippen, damit Kindprozesse entkommen — genau das tun Sandbox-Escape-Exploits, sobald sie ausreichend Zugriff auf das Job haben. JobObjectAssociateCompletionPortInformation kann auch von Überwachungs-Malware missbraucht werden, um den Lebenszyklus von kontrollierten Prozessen zu beobachten.

Erkennungs­möglichkeiten

ETW Microsoft-Windows-Kernel-Process und Microsoft-Windows-Win32k legen einige Job-Policy-Änderungen offen, doch nicht alle Klassen sind gleich instrumentiert. Hochsignalziel ist JobObjectExtendedLimitInformation mit KILL_ON_JOB_CLOSE oder BREAKAWAY_OK, gesetzt durch einen Nicht-Sandbox-Prozess. EDRs, die ntdll!NtSetInformationJobObject hooken, sollten die Klasse dekodieren und (a) ungewöhnliche Setter von BREAKAWAY_OK (Sandbox-Escape-Vorbereitung) sowie (b) KILL_ON_JOB_CLOSE auf einem Job mit den eigenen Helfern des aufrufenden Prozesses (Sauberer-Ausstieg-Infrastruktur) flaggen. Mit NtAssignProcessToJobObject-Events paaren, um die vollständige Sandbox-Topologie zu rekonstruieren.

Direkte Syscall-Beispiele

; Direct syscall stub for NtSetInformationJobObject (SSN 0x1A9 on Win11 24H2 / Server 2025)
NtSetInformationJobObject PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1A9h         ; SSN for win11-24h2
    syscall
    ret
NtSetInformationJobObject ENDP

// Make sure every process in the job dies when the last handle to it closes.
JOBOBJECT_EXTENDED_LIMIT_INFORMATION limits = { 0 };
limits.BasicLimitInformation.LimitFlags = JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE
                                        | JOB_OBJECT_LIMIT_DIE_ON_UNHANDLED_EXCEPTION;

NTSTATUS s = NtSetInformationJobObject(hJob,
                                       JobObjectExtendedLimitInformation,
                                       &limits,
                                       sizeof(limits));

// Optional: associate an IOCP for event-driven monitoring
JOBOBJECT_ASSOCIATE_COMPLETION_PORT cp = { (PVOID)0xCAFE, hIoCompletion };
NtSetInformationJobObject(hJob,
                          JobObjectAssociateCompletionPortInformation,
                          &cp, sizeof(cp));

// Cargo: windows-sys = "0.59"  (Win32_System_JobObjects)
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_set_information_job_object_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x1A9",   // Win11 24H2; resolve dynamically for other builds
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗
• T1564Hide Artifactsmitre ↗
• T1070Indicator Removalmitre ↗