NtDeleteAtom

Prototipo

NTSTATUS NtDeleteAtom(
  RTL_ATOM Atom
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 D8 00 00 00      mov eax, 0xD8
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

El espejo de `NtAddAtom`. Cada AddAtom exitoso sobre un nombre existente incrementa un refcount; DeleteAtom lo decrementa. El átomo solo se retira físicamente de la tabla global cuando el contador llega a cero. Los wrappers Win32 `GlobalDeleteAtom` y `DeleteAtom` rutean por aquí. No hay contabilidad por proceso — cualquier proceso que conozca el ID puede decrementar el contador, lo que es a la vez la conveniencia de la API y el peligro de limpieza. Devuelve STATUS_INVALID_HANDLE para un ID fuera del rango usuario o un átomo nunca añadido.

Uso común por malware

**Limpieza de Atom Bombing**: el PoC original de enSilo (Tal Liberman 2016) y la adaptación Dridex 2017 invocan NtDeleteAtom sobre los IDs de átomos del shellcode contrabandeado después de que la APC objetivo haya copiado los bytes al espacio de direcciones de la víctima. Saltar la limpieza deja los bytes de shellcode en la tabla de átomos global para siempre (bueno, hasta el reboot) — un regalo forense para cualquier analista que lance `!atom` en WinDbg sobre una máquina viva, o que difere la tabla de átomos antes y después de una inyección sospechada. Fuera de la limpieza Atom Bomb la señal es esencialmente nula — `NtDeleteAtom` se dispara millones de veces al día por apps legítimas que registran y destruyen clases de ventana, topics DDE y cadenas IME.

Oportunidades de detección

Por sí solo, NtDeleteAtom es uno de los syscalls más ruidosos en un desktop Windows — Explorer, toda app WPF/WinForms, la stack de entrada, DWM, agitan constantemente la tabla de átomos. El pivot de detección es `NtAddAtom` con nombres anómalos (largos, binarios); si alertas sobre tráfico AddAtom sospechoso, el DeleteAtom correspondiente viene gratis en el mismo flujo. La extensión WinDbg `!atom` puede ser scripteada vía LiveKD / lkd para snapshottear periódicamente la tabla global y diferir entradas cuyos nombres no sean UTF-16 válido o cuya longitud en bytes exceda el típico tamaño de 32 bytes de una clase de ventana — esos son residuales de Atom Bomb. ETW Microsoft-Windows-Kernel-Audit-API-Calls cubre la llamada pero a muy alto volumen.

Ejemplos de syscalls directos

; Direct syscall stub for NtDeleteAtom (SSN 0xD8 on Win11 24H2)
NtDeleteAtom PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0D8h         ; SSN — varies per build
    syscall
    ret
NtDeleteAtom ENDP

// After NtQueueApcThread has delivered the GlobalGetAtomName APC into the
// target and the shellcode bytes have landed in the victim's buffer,
// scrub the smuggled atom IDs from the global table.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtDeleteAtom)(USHORT);

VOID AtomBombCleanup(const USHORT* ids, ULONG count) {
    pNtDeleteAtom NtDeleteAtom = (pNtDeleteAtom)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtDeleteAtom");
    for (ULONG i = 0; i < count; ++i) {
        // Refcount may be >1 if the OS interned the same string elsewhere
        // — call until the kernel returns STATUS_INVALID_HANDLE.
        while (NtDeleteAtom(ids[i]) == 0) { /* loop */ }
    }
}

// Cargo: windows-sys = "0.59" (Win32_System_DataExchange)
// Symmetric DeleteAtom for a string we registered with GlobalAddAtomW.
use windows_sys::Win32::System::DataExchange::GlobalDeleteAtom;

pub unsafe fn drop_atom(id: u16) {
    // Returns 0 on success — refcount hit zero.
    let _residual = GlobalDeleteAtom(id);
}

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗
• T1070Indicator Removalmitre ↗