NtCreateDebugObject

Prototipo

NTSTATUS NtCreateDebugObject(
  PHANDLE            DebugObjectHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  ULONG              Flags
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 AB 00 00 00      mov eax, 0xAB
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

DebugObject es la primitiva del kernel que sustenta la API de depuración Win32: kernel32!DebugActiveProcess, WaitForDebugEvent y ContinueDebugEvent trabajan a través de uno de estos objetos. Un proceso solo puede estar enganchado a un único DebugObject a la vez — esa exclusividad es el pivote de toda la familia de trucos anti-attach por auto-depuración. El SSN se mueve con casi cada actualización mayor (0x9A → 0xAB de 1507 a 24H2), por lo que las tablas estáticas son peligrosas; resuelva dinámicamente. Tras crearlo, la secuencia típica es NtCreateDebugObject → NtDebugActiveProcess(objetivo, dbgObj) → bucle NtWaitForDebugEvent, opcionalmente NtRemoveProcessDebug para soltar.

Uso común por malware

Anti-attach por auto-depuración: el malware (o un hijo lanzado con DEBUG_PROCESS) se engancha a sí mismo o a su hijo protegido a un DebugObject que posee. Como Windows permite un único puerto de depuración por proceso, todo intento posterior de WinDbg, x64dbg o el attach-on-crash de un EDR vía DebugActiveProcess falla con STATUS_PORT_ALREADY_SET. Protectores comerciales (Themida, VMProtect, Enigma) llevan este patrón; igualmente la mayoría de crypters, loaders tipo GuLoader y stagers generados por Donut. El coste existe: el malware debe atender los eventos de depuración en su propio hilo y las excepciones no manejadas del debuggee suben a ese bucle en lugar de a WER.

Oportunidades de detección

La creación de un DebugObject por un proceso que no es depurador es inusual en estaciones de trabajo. El proveedor ETW Microsoft-Windows-Kernel-Object emite eventos de creación de objeto; correlacione con ImageFileName != depuradores conocidos (windbg.exe, vsjitdebugger.exe, devenv.exe, ProcMon.exe). La señal de alta fidelidad es el par NtCreateDebugObject seguido inmediatamente por NtDebugActiveProcess apuntando a sí mismo o a un hijo recién spawneado (sobre todo con DEBUG_KILL_ON_CLOSE — matar el hilo depurador mata el loader, intención hostil). Defender for Endpoint expone DebugActiveProcess vía el canal ETW Threat Intelligence.

Ejemplos de syscalls directos

// Phase 1: create a DebugObject owned by us, then attach to our own PID.
// Any later DebugActiveProcess() against us will return STATUS_PORT_ALREADY_SET.
typedef NTSTATUS(NTAPI* fnNtCreateDebugObject)(PHANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES, ULONG);
typedef NTSTATUS(NTAPI* fnNtDebugActiveProcess)(HANDLE, HANDLE);

HANDLE g_dbg = NULL;
void InstallSelfDebug(void) {
    HMODULE n = GetModuleHandleA("ntdll.dll");
    fnNtCreateDebugObject pCreate = (fnNtCreateDebugObject)GetProcAddress(n, "NtCreateDebugObject");
    fnNtDebugActiveProcess pAttach = (fnNtDebugActiveProcess)GetProcAddress(n, "NtDebugActiveProcess");
    OBJECT_ATTRIBUTES oa = { sizeof(oa) };
    pCreate(&g_dbg, 0x1F000F /* DEBUG_ALL_ACCESS */, &oa, 0 /* no kill-on-close */);
    pAttach((HANDLE)-1 /* self */, g_dbg);
    // Servicing the debug-event loop on a worker thread is still required so
    // the parent does not deadlock on its own exceptions.
}

; SSN 0xAB on win11-24h2 / winserver-2025. Resolve dynamically across builds.
NtCreateDebugObject PROC
    mov  r10, rcx
    mov  eax, 0ABh
    syscall
    ret
NtCreateDebugObject ENDP

// Cargo: windows-sys = "0.59"
use std::ffi::c_void;
use windows_sys::Win32::System::LibraryLoader::{GetModuleHandleA, GetProcAddress};

type NtCreateDebugObject = unsafe extern "system" fn(
    out_handle: *mut isize,
    desired_access: u32,
    object_attributes: *mut c_void,
    flags: u32,
) -> i32;

pub unsafe fn create_debug_object() -> Option<isize> {
    let ntdll = GetModuleHandleA(b"ntdll.dll\0".as_ptr());
    if ntdll.is_null() { return None; }
    let addr = GetProcAddress(ntdll, b"NtCreateDebugObject\0".as_ptr())?;
    let f: NtCreateDebugObject = std::mem::transmute(addr);
    let mut h: isize = 0;
    let mut oa = [0u8; 48];
    if f(&mut h, 0x1F000F, oa.as_mut_ptr().cast(), 0) == 0 { Some(h) } else { None }
}

Mapeos MITRE ATT&CK

• T1622Debugger Evasionmitre ↗
• T1106Native APImitre ↗