NtTerminateThread

Prototyp

NTSTATUS NtTerminateThread(
  HANDLE   ThreadHandle,
  NTSTATUS ExitStatus
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 53 00 00 00      mov eax, 0x53
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Erfreulich stabile SSN — 0x53 von Windows 10 1507 bis Windows 11 24H2 — weil NtTerminateThread früh in der alphabetisch sortierten SSDT liegt und davor wenige Routinen hinzugefügt wurden. Die Kernel-Implementierung mündet in PsTerminateThreadByPointer, dekrementiert die Rundown-Referenz, signalisiert Waiter und gibt schließlich das Thread-Objekt frei. Bei NULL-Handle ersetzt der Kernel durch den aktuellen Thread (ZwCurrentThread / (HANDLE)-2-Semantik).

Häufige Malware-Nutzung

Drei klassische Muster. (1) Race stoppen: einen EDR-Scan-Thread mitten im Scan beenden, damit ein Schreibvorgang auf Disk vor dem erneuten Scan abschließt. (2) Stub-Cleanup: nach Hijack eines Threads (NtSetContextThread auf Shellcode) ruft der Payload schließlich NtTerminateThread(NULL, 0), um den gehijackten Thread ohne die nun korrupte Returnkette zu verwerfen. (3) Suizid bei Tamper-Erkennung: viele Crypter rufen NtTerminateThread auf sich selbst, sobald sie einen angebundenen Debugger erkennen, um dem Analysten keinen lebenden Prozess zu lassen. Häufig kombiniert mit NtTerminateProcess für vollständige Selbstauslöschung.

Erkennungs­möglichkeiten

Selbst-Terminierung ist unsichtbares Rauschen. Cross-Process-Terminierung des Threads eines *anderen* Prozesses ist selten und signalstark — die meiste legitime Software ruft stattdessen NtTerminateProcess. Erfassung per Microsoft-Windows-Threat-Intelligence ETW (EtwTiLogTerminateThread auf einigen Builds) oder per PsSetCreateThreadNotifyRoutine, die ungewöhnliche TerminationStatus-Werte aus Nicht-System-PIDs beobachtet. Auf modernem Windows ist das nützlichste Signal *Korrelation*: Cross-Process NtOpenThread, gefolgt innerhalb von Millisekunden von NtTerminateThread auf eine Sicherheitsprodukt-PID.

Direkte Syscall-Beispiele

; SSN 0x53 — stable Win10 1507 .. Win11 24H2.
NtTerminateThread PROC
    mov  r10, rcx
    mov  eax, 53h
    syscall
    ret
NtTerminateThread ENDP

// At the tail of injected shellcode: cleanly exit the hijacked thread so the
// stack/return-address damage from the hijack never executes.
static VOID PayloadEpilogue(VOID) {
    // ... shellcode work ...
    typedef NTSTATUS (NTAPI *pNtTerminateThread)(HANDLE, NTSTATUS);
    pNtTerminateThread NtTerm = (pNtTerminateThread)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtTerminateThread");
    NtTerm(NULL, 0);   // NULL = current thread
}

use std::arch::asm;

#[inline(never)]
unsafe fn nt_terminate_current_thread() -> ! {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x53",
        "syscall",
        in("rcx") 0usize,    // ThreadHandle = NULL -> current
        in("rdx") 0usize,    // ExitStatus  = 0
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1562.001Impair Defenses: Disable or Modify Toolsmitre ↗
• T1055.003Thread Execution Hijackingmitre ↗
• T1106Native APImitre ↗