NtCreateMutant

Prototipo

NTSTATUS NtCreateMutant(
  PHANDLE            MutantHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  BOOLEAN            InitialOwner
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 BA 00 00 00      mov eax, 0xBA
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Respaldado por `KeInitializeMutant` dentro de ntoskrnl.exe. A diferencia de los eventos, la SSN *deriva* entre builds (`0xA7` en 1507 hasta `0xBA` en Win11 24H2 / Server 2025), por lo que cualquier implementación con syscalls directos requiere resolución dinámica. Un mutant es propiedad de exactamente un hilo a la vez y soporta adquisición recursiva; queda abandonado (retorno `STATUS_ABANDONED_WAIT_0`) si el hilo propietario sale sin liberarlo — propiedad IPC resistente a crashes. La familia Win32 `CreateMutex` llama finalmente a esta rutina.

Uso común por malware

El enforcement de single-instance es el uso canónico: al arrancar, el implante llama a `NtCreateMutant` con un nombre codificado o derivado por hash; si `GetLastError == ERROR_ALREADY_EXISTS` (o en términos NT `STATUS_OBJECT_NAME_COLLISION`), una instancia existente está corriendo y la nueva sale. Los catálogos públicos de IOCs (Emotet, TrickBot, Qakbot, IcedID, NotPetya, Ryuk, Conti) listan cientos de nombres de mutex específicos por familia justamente por esto. Uso secundario: primitiva de bloqueo intra-proceso entre módulos worker, y sonda anti-sandbox (algunas sandboxes pre-crean nombres conocidos para provocar salida temprana).

Oportunidades de detección

Sysmon Event ID 1 / 11 no capturan directamente la creación de mutex; las configuraciones Sysmon pueden incluir matches `<RuleGroup>` sobre `OriginalFileName` más correlación vía ETW. La telemetría de alto valor es ETW `Microsoft-Windows-Kernel-Object` con el keyword `Mutant`, o el parsing `EvtxEcmd` de auditorías de handle del Object Manager cuando se colocan SACLs sobre `\BaseNamedObjects\<nombre-familia>`. Los IOCs de nombres de mutex siguen siendo una de las vías de detección más baratas y duraderas para malware commodity — las reglas Yara sobre memoria o strings aún capturan la mayoría de los droppers.

Ejemplos de syscalls directos

; Direct syscall stub for NtCreateMutant (SSN 0xBA on Win11 24H2 / Server 2025)
NtCreateMutant PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0BAh         ; SSN (24H2 — resolve dynamically for portability)
    syscall
    ret
NtCreateMutant ENDP

// Refuse to run a second copy. Family-specific mutex name kept in cleartext for clarity.
UNICODE_STRING name;
RtlInitUnicodeString(&name, L"\\BaseNamedObjects\\Global\\{8B4E4-implant-singleton}");
OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE  h = NULL;
NTSTATUS st = NtCreateMutant(&h, MUTANT_ALL_ACCESS, &oa, FALSE);
if (st == STATUS_OBJECT_NAME_COLLISION) { ExitProcess(0); }  // already running

// Cargo: windows-sys = "0.59" (Win32_System_Threading)
use windows_sys::Win32::System::Threading::CreateMutexW;
use windows_sys::Win32::Foundation::{GetLastError, ERROR_ALREADY_EXISTS};
use windows_sys::core::w;
use std::ptr::null;

unsafe fn singleton() -> bool {
    let h = CreateMutexW(null(), 0, w!("Global\\{my-implant-singleton}"));
    !h.is_null() && GetLastError() != ERROR_ALREADY_EXISTS
}

Mapeos MITRE ATT&CK

• T1480Execution Guardrailsmitre ↗
• T1106Native APImitre ↗
• T1497Virtualization/Sandbox Evasionmitre ↗