NtContinue

Prototipo

NTSTATUS NtContinue(
  PCONTEXT ContextRecord,
  BOOLEAN  TestAlert
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 43 00 00 00      mov eax, 0x43
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

`NtContinue` es la primitiva del kernel para retorno de excepción — es como SEH y `KiUserExceptionDispatcher` reanudan la ejecución normal tras decidir continuar. La documentación de Microsoft advierte explícitamente que el código user-mode no debe llamarla directamente. En éxito *no* retorna; el kernel carga el CONTEXT en el trap frame y hace `iretq` a user mode. El SSN ha sido `0x43` en cada build de Win10/11.

Uso común por malware

Hijackeado agresivamente por los kits modernos de sleep mask. Ekko (la implementación de referencia de C5pider) usa una cadena de APC disparada por `NtSetTimer` que invoca `NtContinue` con CONTEXT fabricados para saltar (ROP) entre stubs de cifrado, la llamada de sleep y stubs de descifrado — sin escribir nunca el próximo RIP en la pila, así los call-stack walkers sólo ven frames legítimos de kernel32/ntdll. La técnica generaliza cualquier truco `CONTEXT.Rip = <gadget>`: ejecución arbitraria a la salida de un syscall indirecto, bypass de CFG, o recuperación de una excepción fabricada. Brute Ratel C4 y varias variantes de Foliage también dependen de `NtContinue` para transiciones de estado durante el sleep.

Oportunidades de detección

Llamadas directas a `NtContinue` en user mode fuera del camino de excepción del OS son inusuales. Colectores EDR que recorren los sitios `KiUserExceptionDispatcher → NtContinue` pueden marcar CONTEXT cuyo `Rip` apunte a memoria RX/RWX privada en vez de a una imagen cargada. ETW `Microsoft-Windows-Threat-Intelligence` y las protecciones basadas en call-stack introducidas en Windows 11 / políticas suplementarias WDAC apuntan exactamente a este patrón. La huella característica: un módulo no Microsoft llamando `NtContinue` con `ContextFlags = CONTEXT_FULL` y `Rip` apuntando a la sección data del mismo módulo.

Ejemplos de syscalls directos

; Direct syscall stub for NtContinue (SSN 0x43, all Win10/11 builds)
NtContinue PROC
    mov  r10, rcx          ; ContextRecord
    mov  eax, 43h          ; SSN
    syscall
    ret
NtContinue ENDP

// Crafted CONTEXT redirects the calling thread to an arbitrary gadget.
// Used by sleep masks to invoke SystemFunction032 / VirtualProtect with
// pre-loaded register arguments, then chain back to NtContinue with the
// next stage's CONTEXT.
#include <windows.h>
#include <winternl.h>

extern "C" NTSTATUS NTAPI NtContinue(PCONTEXT, BOOLEAN);

void JumpTo(PVOID gadget, ULONG64 rcx, ULONG64 rdx, ULONG64 r8) {
    CONTEXT ctx = {0};
    ctx.ContextFlags = CONTEXT_FULL;
    RtlCaptureContext(&ctx);
    ctx.Rcx = rcx;
    ctx.Rdx = rdx;
    ctx.R8  = r8;
    ctx.Rip = (ULONG64)gadget;
    NtContinue(&ctx, FALSE);   // never returns on success
}

// Demonstrates the dangerous primitive: load a fully-controlled CONTEXT and resume.
use std::arch::asm;

#[unsafe(naked)]
pub unsafe extern "system" fn nt_continue(
    _ctx: *const u8,
    _test_alert: u8,
) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x43",
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1027.011Fileless Storagemitre ↗
• T1620Reflective Code Loadingmitre ↗
• T1106Native APImitre ↗