NtTestAlert

Prototyp

NTSTATUS NtTestAlert(VOID);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 D3 01 00 00      mov eax, 0x1D3
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

`NtTestAlert` zwingt den aufrufenden Thread an einen Alertable-Checkpoint: liefert `KeTestAlertThread` TRUE, leert der Kernel die User-APC-Queue sofort, indem er den Thread zu `KiUserApcDispatcher` springen lässt. Anders als `SleepEx(0, TRUE)` betritt er die Warte-Schleife nicht — er ist ein rein synchroner APC-Delivery-Punkt. Phnt definiert ihn; der öffentliche Win32-Header nicht. Der SSN driftet bei jedem Feature-Update (`0x1A3` auf Win10 1507 → `0x1D3` auf Win11 24H2), sodass dynamische Auflösung für portablen Shellcode Pflicht ist.

Häufige Malware-Nutzung

Die definierende Rolle ist **Early-Bird-APC-Injection**: einen Prozess suspendiert erzeugen, mit `NtQueueApcThread` eine User-APC am Initialthread einreihen und den Loader-Thread im frühen Init `NtTestAlert` ausführen lassen — die APC läuft, bevor irgendeine AV/EDR-DLL reif ist. Early-Bird-Varianten (FIN7, Turla, Conti-Familie und unzählige Open-Source-Loader) rufen `NtTestAlert` bewusst auf, um die APC-Auslieferung zu erzwingen, statt auf einen natürlichen Alertable-Punkt zu warten. Es ist außerdem die *Kickoff*-Primitive von Ekko-Style-Sleep-Masks: der Masking-Thread reiht eine APC-Kette am Beacon-Thread ein, suspendiert ihn, und der Beacon wacht über `NtTestAlert` → `KiUserApcDispatcher` in die ROP-Kette auf.

Erkennungs­möglichkeiten

Außerhalb von Debuggern, Systemdiensten und wenigen CRT-Init-Pfaden ist `NtTestAlert` in Nicht-Microsoft-Binaries kein häufiger Aufruf. Sysmon hat dafür kein dediziertes Event, aber EDR-Sammler mit Stack-Walking erkennen den Übergang `NtTestAlert → KiUserApcDispatcher → <Implant>`. Aussagekräftiger ist die *Kombination*: frisch erzeugter Prozess, dessen erster Thread `NtQueueApcThread` (von außerhalb) sieht, gefolgt von einem prozess-eigenen `NtTestAlert` und einem unmittelbaren Sprung in eine private RX-Region — das ist der Early-Bird-Fingerabdruck. Kernel-Callbacks per `PsSetCreateThreadNotifyRoutineEx` sind ein zuverlässigerer Anker.

Direkte Syscall-Beispiele

; Direct syscall stub for NtTestAlert (SSN 0x1D3 on Win11 24H2)
NtTestAlert PROC
    mov  r10, rcx          ; syscall convention (no args, but stub still sets r10)
    mov  eax, 1D3h         ; SSN — rebuild for each Windows version
    syscall
    ret
NtTestAlert ENDP

// Within a newly-suspended target thread:
//   1) Queue APC pointing at shellcode
//   2) Resume thread; force-deliver via NtTestAlert from inside the thread context.
extern "C" NTSTATUS NTAPI NtQueueApcThread(HANDLE, PVOID, PVOID, PVOID, PVOID);
extern "C" NTSTATUS NTAPI NtTestAlert(VOID);
extern "C" NTSTATUS NTAPI NtResumeThread(HANDLE, PULONG);

void EarlyBird(HANDLE hThread, PVOID shellcode) {
    NtQueueApcThread(hThread, (PVOID)shellcode, NULL, NULL, NULL);
    NtResumeThread(hThread, NULL);
    // Self-deliver any APCs queued on *this* thread immediately.
    NtTestAlert();
}

// Used to wake a beacon thread out of a self-suspended state into
// the APC chain that drives sleep-mask decryption.
use std::arch::asm;

#[unsafe(naked)]
pub unsafe extern "system" fn nt_test_alert() -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x1D3",   // Win11 24H2 — resolve dynamically in production
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1055.004Asynchronous Procedure Callmitre ↗
• T1106Native APImitre ↗