NtCreateEvent

Prototipo

NTSTATUS NtCreateEvent(
  PHANDLE            EventHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  EVENT_TYPE         EventType,
  BOOLEAN            InitialState
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 48 00 00 00      mov eax, 0x48
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Crea un objeto ejecutivo Event vía ObCreateObject + KeInitializeEvent dentro de ntoskrnl.exe. La SSN `0x48` ha sido estable en todas las builds de Win10 y Win11 hasta la fecha. Dos valores de `EVENT_TYPE` importan: `NotificationEvent` permanece señalado hasta un reinicio manual (semántica de broadcast), mientras que `SynchronizationEvent` se reinicia automáticamente tras liberar un waiter (semántica de semáforo-de-uno). Cuando se proporciona un nombre en `ObjectAttributes` bajo `\BaseNamedObjects`, el evento se convierte en una primitiva IPC entre procesos — cualquier proceso que pueda hacer `NtOpenEvent` del nombre comparte el mismo objeto del kernel.

Uso común por malware

Usado como columna vertebral de sincronización de las sleep masks modernas (Ekko, Foliage, Cronos, Zilean): el implante crea un evento auto-reset, encola un timer cuya rutina APC lo señala, y luego espera sobre él en una espera alertable — permitiendo que la cadena ROP recifre la región del implante entre beacons. También forma la mitad de los diseños C2 named-pipe-y-event (Brute Ratel C4, pipes pivote de Sliver) donde el evento nombrado señala « comando disponible » sin bucle de polling. Un evento nombrado señalado sirve también como single-instance check.

Oportunidades de detección

La creación de eventos es muy frecuente en cualquier proceso Windows y no es una señal útil por sí sola. La detección se centra en el *nombre* y el *propietario del handle*: eventos con nombres tipo `Global\<random-guid>` abiertos entre procesos desde padres no-sistema, o eventos cuyo handle es retenido por un proceso que también retiene una sección writable y un timer (la tríada Ekko). Sysmon no registra directamente la creación de eventos; ETW `Microsoft-Windows-Kernel-Object` y las auditorías de handles del Object Manager pueden activarse selectivamente. Los EDR que recorren las tablas de handles en las transiciones suspend/sleep detectan el patrón sleep-mask de forma fiable.

Ejemplos de syscalls directos

; Direct syscall stub for NtCreateEvent (SSN 0x48, stable across Win10/11)
NtCreateEvent PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 48h          ; SSN
    syscall
    ret
NtCreateEvent ENDP

// Auto-reset event signalled by a timer APC; waited on alertably to drive the chain.
HANDLE             hEvent  = NULL;
OBJECT_ATTRIBUTES  oa      = { sizeof(oa), 0 };
NTSTATUS st = NtCreateEvent(&hEvent,
                            EVENT_ALL_ACCESS,
                            &oa,
                            SynchronizationEvent,
                            FALSE);
if (!NT_SUCCESS(st)) return st;
// hEvent is now the rendezvous point between the implant thread and the timer APC.

// Cargo: windows-sys = "0.59" (Win32_System_Threading)
use windows_sys::Win32::System::Threading::CreateEventW;
use windows_sys::Win32::Foundation::{GetLastError, ERROR_ALREADY_EXISTS};
use std::ptr::null;

unsafe fn ensure_single_instance(name: *const u16) -> bool {
    let h = CreateEventW(null(), 1, 0, name);
    if h.is_null() { return false; }
    GetLastError() != ERROR_ALREADY_EXISTS
}

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗
• T1027.011Fileless Storagemitre ↗
• T1480Execution Guardrailsmitre ↗