NtClearEvent

Prototipo

NTSTATUS NtClearEvent(
  HANDLE  EventHandle
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 3E 00 00 00      mov eax, 0x3E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtClearEvent es el más liviano de los syscalls que mutan estado de evento: solo toma un handle, lleva el evento a no señalado y devuelve NTSTATUS. Internamente el kernel invoca la misma rutina `KeResetEvent` que NtResetEvent — la única diferencia es que NtClearEvent descarta el estado anterior en lugar de escribirlo a user-land, ahorrando un probe y una escritura sobre el puntero `PreviousState`. El SSN `0x3E` está congelado en todas las builds Windows 10/11. La mayoría del código user-mode lo alcanza indirectamente vía `ResetEvent` en Win32, que en realidad despacha a NtClearEvent (no NtResetEvent) cuando el llamante no pasa un puntero out.

Uso común por malware

Mismo rol que NtResetEvent en bucles de implante *sleep mask* y *event-paced*, elegido cuando el llamante no necesita el estado previo y quiere la huella de syscall más pequeña. Algunos loaders de shellcode prefieren NtClearEvent sobre el `ResetEvent` Win32 precisamente porque hay una indirección menos para que aterrice un hook EDR user-mode. Por lo demás mayoritariamente legítimo.

Oportunidades de detección

Como NtResetEvent, NtClearEvent es tráfico legítimo de alto volumen y no es señal por sí mismo. El relato de detección es idéntico: buscar bucles cerrados `Set→Wait→Clear` desde memoria sin respaldo, o desde hilos cuya única imagen mapeada sea sospechosa. ETW no expone clear vs reset por separado. Si ya hookea NtResetEvent en el borde user-mode, asegúrese de que NtClearEvent también lo esté — si no, un intercambio de una línea de código basta para evadir el hook.

Ejemplos de syscalls directos

; Direct syscall stub for NtClearEvent (SSN 0x3E, stable Win10 1507+)
NtClearEvent PROC
    mov  r10, rcx          ; EventHandle
    mov  eax, 3Eh          ; SSN
    syscall
    ret
NtClearEvent ENDP

// One-shot reset; cheaper than ResetEvent because no PreviousState writeback.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtClearEvent)(HANDLE);

NTSTATUS ClearEvt(HANDLE hEvent) {
    pNtClearEvent fn = (pNtClearEvent)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtClearEvent");
    return fn(hEvent);
}

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗
• T1027Obfuscated Files or Informationmitre ↗