NtSetTimer

Prototyp

NTSTATUS NtSetTimer(
  HANDLE              TimerHandle,
  PLARGE_INTEGER      DueTime,
  PTIMER_APC_ROUTINE  TimerApcRoutine,
  PVOID               TimerContext,
  BOOLEAN             ResumeTimer,
  LONG                Period,
  PBOOLEAN            PreviousState
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 62 00 00 00      mov eax, 0x62
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Bewaffnet ein mit `NtCreateTimer` erzeugtes Timer-Objekt über `KeSetTimerEx` / `ExpSetTimer` in ntoskrnl.exe. SSN `0x62` ist über jeden Win10/11-Build stabil. `DueTime` ist in NT-100-ns-Einheiten angegeben (negativ für relativ). Wenn `TimerApcRoutine` nicht NULL ist, reiht der Kernel bei jedem Ablauf einen *normalen User-APC* in den **Thread ein, der `NtSetTimer` aufgerufen hat** — nicht in einen anderen Thread — und der APC feuert nur, wenn dieser Thread in einen alertable Wait eintritt. Ein nichtnull `Period` macht den Timer wiederkehrend (`SetWaitableTimer`-Semantik); folgende Abläufe reihen weiter APCs ein, bis `NtCancelTimer` aufgerufen wird.

Häufige Malware-Nutzung

**Der Zünder für Ekko-artige Sleep-Masks.** Das Implant baut eine Kette: NtCreateTimer → NtSetTimer mit `TimerApcRoutine`, das auf eine Folge von ROP-Gadgets `RtlCaptureContext` / `SystemFunction032` / `NtProtectVirtualMemory` zeigt → NtWaitForSingleObject(alertable). Bei Ablauf führt der APC jede ROP-Stufe nacheinander aus: Kontext erfassen, RWX-Implant-Region entschlüsseln, beim nächsten Ablauf neu verschlüsseln + erneut schlafen. Ergebnis: ein Beacon, dessen Speicherbild in jedem *inaktiven* Moment für einen Scanner unlesbar ist. Foliage, Cronos und Zilean liefern Varianten; Havoc aktiviert eine Ekko-Sleep-Mask standardmäßig. Auch missbraucht als geräuscharmer Persistenz-Beacon — periodischer Timer + kleiner APC, der den C2 abfragt.

Erkennungs­möglichkeiten

ETW Threat Intelligence emittiert das eingereihte-APC-Event für den kernelseitig eingereihten User-APC bei jedem Ablauf — *jeder* Tick einer Ekko-Sleep-Mask ist also prinzipiell protokollierbar, auch wenn die meisten EDRs das Volumen drosseln. Die sauberste Erkennung: merken, dass der RIP des `NtSetTimer`-Callsites in nicht-gemapptem Speicher liegt und die APC-Routinenadresse im selben RWX-Bereich — ein self-modifying Timer-Arm-and-Fire aus anonymem Speicher ist in benigner Software extrem selten. Wake-Timer-Missbrauch lässt sich zudem offline via `powercfg /waketimers` aufzählen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtSetTimer (SSN 0x62, stable across Win10/11)
NtSetTimer PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 62h          ; SSN
    syscall
    ret
NtSetTimer ENDP

// hTimer was just created with NtCreateTimer(SynchronizationTimer).
// hEvent is the rendezvous the APC will signal at end of the ROP chain.
LARGE_INTEGER due;
due.QuadPart = -(LONGLONG)(60 * 1000 * 10000); // 60s relative

NtSetTimer(hTimer,
           &due,
           (PTIMER_APC_ROUTINE)EkkoStage1, // ROP gadget: encrypt → sleep → decrypt
           (PVOID)hEvent,                  // ctx forwarded as APC arg1
           FALSE,                          // not a wake timer
           0,                              // one-shot; we re-arm at end of chain
           NULL);

// Implant thread then alertably waits on hEvent; APC fires on expiry.
NtWaitForSingleObject(hEvent, TRUE, NULL);

// Beacon every 30s with a small callback that issues an HTTPS check-in.
LARGE_INTEGER due;
due.QuadPart = -(LONGLONG)(30 * 1000 * 10000); // first fire +30s
NtSetTimer(hTimer,
           &due,
           (PTIMER_APC_ROUTINE)BeaconTickApc,
           NULL,
           FALSE,
           30 * 1000,   // period 30s
           NULL);

for (;;) NtWaitForSingleObject(hTimer, TRUE, NULL); // alertable, APC fires each tick

MITRE ATT&CK-Mappings

• T1027.011Fileless Storagemitre ↗
• T1055.004Asynchronous Procedure Callmitre ↗
• T1029Scheduled Transfermitre ↗