NtFindAtom

Prototipo

NTSTATUS NtFindAtom(
  PWSTR     AtomName,
  ULONG     Length,
  PRTL_ATOM Atom
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 14 00 00 00      mov eax, 0x14
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

El SSN `0x14` es estable de 1507 a 24H2 — las interfaces de tabla de átomos simplemente no se mueven. NtFindAtom es el hermano de solo lectura de NtAddAtom: recorre la tabla hash global, compara byte a byte el input Length-bytes contra cada entrada y devuelve el ID existente sin tocar el refcount. A diferencia de NtAddAtom, NtFindAtom devuelve STATUS_OBJECT_NAME_NOT_FOUND si el nombre no existe (NtAddAtom lo crearía). Wrappers Win32: `GlobalFindAtomA/W`.

Uso común por malware

**Rendezvous Atom Bombing** — el segundo implante (o un hilo hermano) llama a NtFindAtom sobre una cadena marcador pactada para descubrir si el shellcode stage-1 ya está en la tabla y conocer su ID antes de encolar el APC que dispara `GlobalGetAtomNameA` en el objetivo. También para **coordinación IPC entre implantes** donde la tabla de átomos hace de almacén clave/valor compartido encubierto: los implantes publican identificadores de sesión, IDs de beacon o hashes de URL de callback como nombres de átomos, y los pares los `NtFindAtom` para descubrirse sin tocar disco, registro o sockets. **Detección de sandbox** — consultar la tabla por átomos dejados por harnesses de sandbox (Triage y Joe Sandbox registran cada uno un pequeño conjunto de átomos reconocibles en el arranque); presencia = entorno de análisis. Barato, sin imports más allá de ntdll, indetectable por EDRs centrados en fichero/registro.

Oportunidades de detección

Volumen aún más bajo que NtAddAtom en telemetría de alertas — la mayoría de productos tratan la tabla de átomos como caja negra. Caza útil: **NtFindAtom llamado por un proceso que nunca llama a NtAddAtom**, con un Length que sugiere búsqueda de marcador en vez de nombre de clase de ventana (típicamente 8-64 bytes), correlacionado con un NtQueueApcThread posterior hacia un proceso remoto — signo fuerte de rendezvous Atom Bombing. ETW Microsoft-Windows-Kernel-Audit-API-Calls expone el syscall. WinDbg `!atom` muestra la tabla global actual y es la verdad en IR. El motor conductual de Defender añadió (~2018) una detección específica de Atom Bomb que dispara sobre la cadena completa GlobalAddAtomA + GlobalGetAtomNameA-vía-APC, pero NtFindAtom solo normalmente no la dispara.

Ejemplos de syscalls directos

; Direct syscall stub for NtFindAtom (SSN 0x14, all builds)
NtFindAtom PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 14h          ; SSN
    syscall
    ret
NtFindAtom ENDP

// Stage-2 implant looks up the agreed marker atom to find the stage-1
// shellcode payload uploaded via NtAddAtom by a sibling. Returns the
// atom ID, ready to feed to GlobalGetAtomNameA via an APC in the target.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtFindAtom)(PWSTR, ULONG, PUSHORT);

USHORT FindRendezvousAtom(PCWSTR marker) {
    pNtFindAtom NtFindAtom = (pNtFindAtom)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtFindAtom");
    USHORT id = 0;
    ULONG bytes = (ULONG)(wcslen(marker) * sizeof(WCHAR));
    NTSTATUS s = NtFindAtom((PWSTR)marker, bytes, &id);
    return NT_SUCCESS(s) ? id : 0;
}

// Cargo: ntapi = "0.4", widestring = "1"
// Probe the global atom table for known sandbox-harness markers. Presence
// of any of these signals an analysis environment.
use ntapi::ntexapi::NtFindAtom;
use widestring::U16CString;

const MARKERS: &[&str] = &[
    "TriageHostMarker_v3",
    "JoeSandboxAgent_active",
    "AnyRun_Probe",
];

pub unsafe fn looks_like_sandbox() -> bool {
    for &m in MARKERS {
        let w = U16CString::from_str(m).unwrap();
        let mut id: u16 = 0;
        let s = NtFindAtom(w.as_ptr() as _, (w.len() * 2) as u32, &mut id);
        if s >= 0 && id != 0 { return true; }
    }
    false
}

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1559Inter-Process Communicationmitre ↗
• T1497Virtualization/Sandbox Evasionmitre ↗
• T1106Native APImitre ↗