NtCreateJobObject

Prototipo

NTSTATUS NtCreateJobObject(
  PHANDLE            JobHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 B4 00 00 00      mov eax, 0xB4
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtCreateJobObject asigna una estructura de kernel `_EJOB` y devuelve un handle. Por sí sola no hace nada observable: el objeto cobra sentido cuando se le asignan procesos vía NtAssignProcessToJobObject y se aplica política mediante NtSetInformationJobObject. Los job objects sustentan el sandboxing en Windows — los renderers de Chromium / Edge, AppContainer / Windows Sandbox y la gestión moderna de procesos hijo en Win32 se apoyan en jobs. Los jobs anidados (Win8+) permiten apilar políticas sin romper asignaciones previas. La SSN cambia cada par de actualizaciones mayores.

Uso común por malware

Casi totalmente benigno. El patrón ofensivo interesante es el inverso — *escapar* de un job mediante PROCESS_CREATE_FLAGS_BREAKAWAY_FROM_JOB al spawnear un hijo (cuando el job lo permite) o terminando el proceso controlador para que se dispare la política JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE y borre evidencias. Un puñado de herramientas red-team crean su propio job para aplicar JobObjectExtendedLimitInformation con JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE a un stager que se autodestruye si el implante muere. Señal ofensiva débil — honestamente, los jobs están en todas partes de un sistema sano.

Oportunidades de detección

Sysmon hoy no tiene un evento dedicado a job objects. La telemetría útil viene de ETW Microsoft-Windows-Kernel-Process (los registros de inicio de proceso exponen el ID del job vía TokenInformation) y de hooks EDR sobre ntdll!NtCreateJobObject combinados con ntdll!NtAssignProcessToJobObject. El ángulo blue-team no es «quién creó un job» (todos lo hacen) sino «quién creó un job que incluye un proceso que no lanzó» — síntoma de intento de contención o control de terminación. Emparejar con NtSetInformationJobObject(JobObjectExtendedLimitInformation) para señalar KILL_ON_JOB_CLOSE en jobs inusuales.

Ejemplos de syscalls directos

; Direct syscall stub for NtCreateJobObject (SSN 0xB4 on Win11 24H2 / Server 2025)
NtCreateJobObject PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0B4h         ; SSN for win11-24h2
    syscall
    ret
NtCreateJobObject ENDP

// First step of a sandboxed child-process pattern.
// Pair with NtAssignProcessToJobObject + NtSetInformationJobObject to fully wire it up.
HANDLE hJob = NULL;
NTSTATUS s = NtCreateJobObject(&hJob,
                               JOB_OBJECT_ALL_ACCESS,
                               NULL);   // anonymous, unnamed
if (!NT_SUCCESS(s)) return s;

// At this point hJob is empty; nothing happens to any process until
// NtAssignProcessToJobObject(hJob, hChild) is called.

// Cargo: windows-sys = "0.59"  (Win32_System_JobObjects)
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_create_job_object_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0xB4",    // Win11 24H2; resolve dynamically for other builds
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗
• T1564Hide Artifactsmitre ↗