NtCreateTimer2

Prototipo

NTSTATUS NtCreateTimer2(
  PHANDLE            TimerHandle,
  PVOID              Reserved1,
  PVOID              Reserved2,
  POBJECT_ATTRIBUTES ObjectAttributes,
  ULONG              Attributes,
  ACCESS_MASK        DesiredAccess
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 CC 00 00 00      mov eax, 0xCC
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Introducido en Windows 10 1507 como backend del kernel para el subsistema **Threadpool Timer v2** (`CreateThreadpoolTimer` / `SetThreadpoolTimer`). A diferencia del antiguo `NtCreateTimer`, Timer2 colapsa en un único paso de creación lo que antes requería varios flags y llamadas sucesivas: la máscara `Attributes` declara desde el inicio si el timer es manual-reset y si solicita un tick de *alta resolución* (submilisegundo) de la cola high-resolution del kernel. Internamente `ExCreateTimer2` asigna un `EX_TIMER` en lugar de un `KTIMER` simple, queda asociado a `PspHostSiloGlobals` y se procesa por la ruta de segunda generación `KiProcessExpiredTimerList`. Los dos slots `Reserved` son vestigios del diseño WDDM original que exponía un callback de finalización del lado del kernel.

Uso común por malware

La familia Timer2 es el **sustrato moderno de sleep-mask** preferido por los investigadores de evasión que apuntan a Windows 10 1809+: produce *menos* telemetría que el par antiguo `NtCreateTimer` + `NtSetTimer` porque el objeto `EX_TIMER` no aflora en las mismas rutas de creación de handle de Sysmon/ETW que algunos EDR monitorizan. Varias variantes de **PoolParty** (SafeBreach, BlackHat EU 2023) — específicamente las que pivotan sobre internals del threadpool — prefieren `NtCreateTimer2` porque el `TpTimer` resultante vive enteramente dentro del estado privado del threadpool, esquivando la enumeración ingenua de handles timer. La misma primitiva sustenta la rama Timer2 de las familias sleep-mask **Cronos** y **Zilean** (forks de 2024 de Ekko), que usan el modo de alta resolución para acortar la ventana RWX cifrada de milisegundos a microsegundos.

Oportunidades de detección

No hay evento Sysmon para creación de Timer2. El ángulo blue-team de alta fidelidad es ETW `Microsoft-Windows-Kernel-EventTracing` combinado con `Microsoft-Windows-Threading` (provider `{8a2b7ef8-7d7e-4f1a-a8b8-65b0e9eb...}`) y un stack-walk de los llamadores de `NtCreateTimer2`: el uso legítimo proviene casi exclusivamente de `ntdll!TppTimerCreate` invocado por `kernel32!CreateThreadpoolTimer` — cualquier otra cosa (especialmente llamadores en memoria RWX privada) es sospechosa. Los EDR maduros detectan sleep masks derivados de Ekko snapshotando las listas `TP_TIMER` del threadpool durante escaneos periódicos y marcando timers cuyo puntero `Callback` esté en memoria no respaldada, sin importar qué variante de `NtCreateTimer*` los produjo.

Ejemplos de syscalls directos

; Direct syscall stub for NtCreateTimer2 (SSN 0xCC on Win11 24H2 / Server 2025)
NtCreateTimer2 PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0CCh         ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtCreateTimer2 ENDP

// Single call sets up a high-res manual-reset Timer2 — Ekko-style designs
// previously needed NtCreateTimer + NtSetTimerEx for the same configuration.
#define TIMER_TYPE_MANUAL_RESET     0x1
#define TIMER_TYPE_HIGH_RESOLUTION  0x2

HANDLE hTimer = NULL;
NTSTATUS st = NtCreateTimer2(&hTimer,
                             NULL, NULL,
                             NULL,
                             TIMER_TYPE_MANUAL_RESET | TIMER_TYPE_HIGH_RESOLUTION,
                             TIMER_ALL_ACCESS);
if (!NT_SUCCESS(st)) return st;
// Arm with NtSetTimer2 next, then wait alertably; APC delivers the sleep-mask stage.

// Cargo: windows-sys = "0.59" (Win32_System_Threading)
use windows_sys::Win32::System::Threading::{
    CreateThreadpoolTimer, PTP_TIMER, PTP_CALLBACK_INSTANCE,
};
use std::ptr::null_mut;

unsafe extern "system" fn tick(_inst: PTP_CALLBACK_INSTANCE, _ctx: *mut core::ffi::c_void, _t: PTP_TIMER) {}

// Underlying transition: ntdll!TppTimerCreate -> NtCreateTimer2(HIGH_RESOLUTION).
unsafe fn make() -> PTP_TIMER {
    CreateThreadpoolTimer(Some(tick), null_mut(), null_mut())
}

Mapeos MITRE ATT&CK

• T1027.011Fileless Storagemitre ↗
• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗