NtCancelTimer

Prototipo

NTSTATUS NtCancelTimer(
  HANDLE    TimerHandle,
  PBOOLEAN  CurrentState
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 61 00 00 00      mov eax, 0x61
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtCancelTimer desarma un timer previamente armado por NtSetTimer. El parámetro de salida `CurrentState` informa si la cancelación corrió contra la expiración: TRUE significa que el timer aún estaba en la lista pendiente del dispatcher (cancelación ganó), FALSE significa que el timer disparó antes del syscall (y cualquier rutina APC ya se encoló o ejecutó). El SSN `0x61` está congelado en todas las builds Windows 10/11. La rutina kernel `KeCancelTimer` lo subyace.

Uso común por malware

Emparejado con NtSetTimer en diseños de implante *sleep mask* y *delayed execution*. Ciclo típico: NtCreateTimer + NtSetTimer (período + APC) → trabajo del implante → NtCancelTimer + NtClose en el teardown para retirar el disparo APC periódico que de otro modo seguiría despachando a shellcode liberado. Algunos implantes también usan NtCancelTimer para *reprogramar adaptativamente* intervalos de sueño — cancelar el armado actual y llamar a NtSetTimer con un DueTime nuevo en respuesta a un comando C2. No es una primitiva ofensiva por sí misma; la señal está en el *emparejamiento* con NtSetTimer / NtQueueApcThread.

Oportunidades de detección

Como las otras primitivas event/timer, NtCancelTimer es tráfico legítimo de alto volumen. La señal de detección es la *pareja*: NtSetTimer con un `TimerApcRoutine` no-NULL apuntando a una región RWX o sin respaldo, seguido de un NtCancelTimer sobre el mismo handle durante salida o teardown. El proveedor ETW `Microsoft-Windows-Kernel-EventTracing` y la flag legacy `KernelTimer` de `Microsoft-Windows-Kernel-Process` aportan contexto.

Ejemplos de syscalls directos

; Direct syscall stub for NtCancelTimer (SSN 0x61, stable Win10 1507+)
NtCancelTimer PROC
    mov  r10, rcx          ; TimerHandle
    mov  eax, 61h          ; SSN
    syscall
    ret
NtCancelTimer ENDP

// Implant shutdown: disarm the periodic APC timer that ticks our sleep mask.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtCancelTimer)(HANDLE, PBOOLEAN);

void TeardownSleepMask(HANDLE hTimer) {
    BOOLEAN wasPending = FALSE;
    pNtCancelTimer fn = (pNtCancelTimer)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtCancelTimer");
    fn(hTimer, &wasPending);
    // wasPending == FALSE => the APC has already queued; flush APCs with a brief alertable wait.
    NtClose(hTimer);
}

// Cargo: ntapi = "0.4"
use ntapi::ntexapi::{NtCancelTimer, NtSetTimer};
use winapi::shared::ntdef::{BOOLEAN, HANDLE, LARGE_INTEGER};

unsafe fn reschedule(timer: HANDLE, new_due_100ns: i64) {
    let mut was_pending: BOOLEAN = 0;
    NtCancelTimer(timer, &mut was_pending);

    let mut due: LARGE_INTEGER = std::mem::zeroed();
    *due.QuadPart_mut() = -new_due_100ns; // negative = relative
    let mut prev: BOOLEAN = 0;
    NtSetTimer(timer, &mut due, None, std::ptr::null_mut(), 0, 0, &mut prev);
}

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗
• T1027Obfuscated Files or Informationmitre ↗