NtSuspendThread

Prototyp

NTSTATUS NtSuspendThread(
  HANDLE  ThreadHandle,
  PULONG  PreviousSuspendCount
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 CF 01 00 00      mov eax, 0x1CF
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtSuspendThread ist die Kernel-Primitive hinter SuspendThread / Wow64SuspendThread. Die SSN driftet stark zwischen Builds, weil sie im oberen, alphabetisch sortierten Bereich der System Service Descriptor Table liegt — jeder davor eingefügte neue Syscall verschiebt sie. Jeder erfolgreiche Aufruf erhöht den vom Kernel verfolgten Suspend-Zähler (KTHREAD->SuspendCount); der Thread läuft erst weiter, wenn der Zähler durch passende NtResumeThread-Aufrufe wieder auf null sinkt. Die Routine mündet in KeSuspendThread / PsSuspendThread innerhalb von ntoskrnl.exe.

Häufige Malware-Nutzung

Zwei dominante Missbrauchsmuster. Erstens: Thread Hijacking — bestehenden Thread suspendieren, NtGetContextThread, RIP/RSP auf Shellcode umschreiben, NtSetContextThread, NtResumeThread (T1055.003). Zweitens, zunehmend häufig: EDR/AV-Scan-Threads im selben oder einem Remote-Prozess suspendieren, um eine Race Condition zu gewinnen. Varianten (NanoDump-Stil) suspendieren alle Threads von lsass.exe vor dem Lesen des Speichers, um einen kohärenten Snapshot ohne Thread-Erzeugungs-Telemetrie zu erhalten. Verwendet von Cobalt Strikes `inject`-BOFs, Slivers Process-Hollowing-Payloads und den meisten modernen Doppelganging-/Ghosting-Loadern.

Erkennungs­möglichkeiten

NtSuspendThread auf einem Remote-Thread ist selten und signalstark — legitime Suspender sind Debugger, Profiler, .NET-GC und einige Kompatibilitäts-Shims. Sysmon protokolliert es nicht nativ; per ETW-TI (Microsoft-Windows-Threat-Intelligence: EtwTiLogSuspendThread) oder via Kernel-Callback (ObRegisterCallbacks auf Thread-Handles mit THREAD_SUSPEND_RESUME) erfassen. Cross-Process-Suspends auf Threads von Sicherheitsprodukten (MsMpEng.exe, Sense.exe, cylancesvc.exe) sollten mit hoher Konfidenz alarmiert werden. EDR-User-Mode-Hooks auf ntdll!NtSuspendThread werden üblicherweise per direkten/indirekten Syscalls umgangen — Kernel-Telemetrie ist der verlässliche Weg.

Direkte Syscall-Beispiele

; SSN 0x1CF on Win11 24H2 — do NOT hardcode across builds.
NtSuspendThread PROC
    mov  r10, rcx          ; ThreadHandle
    mov  eax, 1CFh
    syscall
    ret
NtSuspendThread ENDP

// Snapshot all threads in target, suspend each, then read memory.
// Mirrors NanoDump / HandleKatz technique.
HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);
THREADENTRY32 te = { .dwSize = sizeof(te) };
for (BOOL ok = Thread32First(hSnap, &te); ok; ok = Thread32Next(hSnap, &te)) {
    if (te.th32OwnerProcessID != lsassPid) continue;
    HANDLE hT = NtOpenThread_direct(THREAD_SUSPEND_RESUME, te.th32ThreadID);
    if (hT) { NtSuspendThread_direct(hT, NULL); CloseHandle(hT); }
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_suspend_thread_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x1CF",   // Win11 24H2 only
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1055.003Thread Execution Hijackingmitre ↗
• T1003.001OS Credential Dumping: LSASS Memorymitre ↗
• T1106Native APImitre ↗