NtCreateThreadEx

Prototipo

NTSTATUS NtCreateThreadEx(
  PHANDLE              ThreadHandle,
  ACCESS_MASK          DesiredAccess,
  POBJECT_ATTRIBUTES   ObjectAttributes,
  HANDLE               ProcessHandle,
  PVOID                StartRoutine,
  PVOID                Argument,
  ULONG                CreateFlags,
  SIZE_T               ZeroBits,
  SIZE_T               StackSize,
  SIZE_T               MaximumStackSize,
  PPS_ATTRIBUTE_LIST   AttributeList
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 C2 00 00 00      mov eax, 0xC2     ; win10-22h2 / win11-21h2 differ
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

A diferencia de muchos vecinos, la SSN de `NtCreateThreadEx` *cambia en cada actualización de funcionalidades*: `0xC2` en Win10 21H2/22H2, `0xC6` en Win11 21H2, `0xC7` en 22H2/23H2, `0xC9` en 24H2 y Server 2025. Codificar este número es frágil — se recomienda encarecidamente la resolución dinámica vía Hell's Gate o Halo's Gate. Es la bestia de carga del kernel detrás de `CreateRemoteThread`, `CreateRemoteThreadEx` y `CreateThread`; el antiguo `NtCreateThread` está esencialmente obsoleto. Pasar una `PS_ATTRIBUTE_LIST` con `PsAttributeIdealProcessor` o `PsAttributeClientId` permite fijar el hilo o asignarle un CID falsificado.

Uso común por malware

El paso de ejecución en la inyección remota clásica: tras `NtAllocateVirtualMemory` + `NtWriteVirtualMemory` + `NtProtectVirtualMemory`, este syscall es lo que realmente ejecuta el payload en el proceso remoto. A menudo se invoca con `CREATE_SUSPENDED` para que el implante instale un `CONTEXT` personalizado (PEB walking, stack spoof) vía `NtSetContextThread` antes de `NtResumeThread`. Variantes: usar `LoadLibraryA` como `StartRoutine` (inyección DLL de la vieja escuela), señuelos `RtlExitUserThread` o una cadena JOP/ROP que pivota dentro del objetivo.

Oportunidades de detección

Sysmon Event ID 8 (`CreateRemoteThread`) es el evento estrella — se dispara siempre que los procesos origen y destino difieren, con `SourceImage`, `TargetImage`, `StartAddress` y un hash de pila. ETW Threat Intelligence emite `EtwTiLogCreateThread` para la creación de hilo remoto y lo consumen los principales EDR. Los callbacks del kernel `PsSetCreateThreadNotifyRoutine`/`PsSetCreateThreadNotifyRoutineEx` se disparan de forma síncrona y los syscalls directos de userland no pueden eludirlos. Una `StartAddress` que no resuelve a una imagen cargada (es decir, vive en memoria privada) es la señal individual más fuerte.

Ejemplos de syscalls directos

; Direct syscall stub for NtCreateThreadEx (SSN 0xC9 on Win11 24H2 / Server 2025).
; WARNING: this SSN moves between feature updates — prefer dynamic resolution.
NtCreateThreadEx PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0C9h         ; SSN for win11-24h2
    syscall
    ret
NtCreateThreadEx ENDP

// Spawn the thread suspended so we can rewrite RIP / RSP before resuming.
HANDLE  hThread = NULL;
NTSTATUS st = NtCreateThreadEx(&hThread, THREAD_ALL_ACCESS, NULL,
                               hRemote, payload_rva, NULL,
                               THREAD_CREATE_FLAGS_CREATE_SUSPENDED,
                               0, 0, 0, NULL);
if (!NT_SUCCESS(st)) return st;

CONTEXT ctx = { .ContextFlags = CONTEXT_FULL };
NtGetContextThread(hThread, &ctx);
ctx.Rip = (DWORD64)real_entry;        // pivot away from the decoy StartRoutine
NtSetContextThread(hThread, &ctx);
NtResumeThread(hThread, NULL);

// Hardcoding 0xC2/0xC6/0xC7/0xC9 across builds is fragile — resolve at runtime.
typedef NTSTATUS (NTAPI *pNtCreateThreadEx)(
    PHANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES, HANDLE, PVOID, PVOID,
    ULONG, SIZE_T, SIZE_T, SIZE_T, PVOID);

DWORD ssn = GetSyscallNumber(GetProcAddress(GetModuleHandleA("ntdll.dll"),
                                            "NtCreateThreadEx"));
set_ssn(ssn);
indirect_syscall_invoke(/* ... */);

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1055.002Portable Executable Injectionmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1620Reflective Code Loadingmitre ↗