NtGetContextThread

Prototipo

NTSTATUS NtGetContextThread(
  HANDLE    ThreadHandle,
  PCONTEXT  ThreadContext
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 FB 00 00 00      mov eax, 0xFB
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

La estructura CONTEXT es específica de la arquitectura y voluminosa: en x64 ocupa 1232 bytes (CONTEXT) más un área XSTATE extendida cuyo tamaño depende de las capacidades de CPU habilitadas (los enclaves AVX-512 pueden superar 2,5 KB). El llamador debe establecer ContextFlags antes — CONTEXT_CONTROL (Rip, Rsp, EFlags), CONTEXT_INTEGER (Rax..R15), CONTEXT_SEGMENTS, CONTEXT_DEBUG_REGISTERS (DR0..DR7), CONTEXT_FLOATING_POINT, CONTEXT_XSTATE. El hilo debería estar suspendido; leer el contexto de un hilo en ejecución devuelve una instantánea que puede haber quedado obsoleta al recibirse.

Uso común por malware

La mitad de lectura de la primitiva de secuestro de hilo: suspender → obtener contexto → parchear Rip/Rsp → establecer contexto → reanudar. También usado por código anti-debug para leer DR0–DR3 de sus propios hilos y detectar breakpoints hardware instalados por un analista (`if (ctx.Dr0 || ctx.Dr1 || ctx.Dr2 || ctx.Dr3) abandonar();`). Algunas sandboxes marcan hilos con valores centinela en selectores de segmento no usados, y los packers los comprueban. Los BOF `inject` de Cobalt Strike, Sliver migrate, ScareCrow y la mayoría de variantes Early Bird APC pasan por aquí.

Oportunidades de detección

Por sí solo, NtGetContextThread tiene volumen moderado — depuradores, runtime .NET, profilers y manejadores de excepciones leen el contexto. Las lecturas entre procesos contra objetivos no depurados son mucho más raras; correlacionar la telemetría ETW Microsoft-Windows-Threat-Intelligence con el contexto de la relación entre procesos (padre/hijo, firmante). La detección más accionable es la *secuencia* NtSuspendThread → NtGetContextThread → NtSetContextThread → NtResumeThread en una ventana corta sobre un hilo remoto.

Ejemplos de syscalls directos

// Detect analyst-set DR0..DR3 on our own primary thread.
CONTEXT ctx = { .ContextFlags = CONTEXT_DEBUG_REGISTERS };
if (NT_SUCCESS(NtGetContextThread(NtCurrentThread(), &ctx))) {
    if (ctx.Dr0 | ctx.Dr1 | ctx.Dr2 | ctx.Dr3) {
        // Hardware breakpoint installed -> exit silently.
        NtTerminateProcess(NtCurrentProcess(), 0);
    }
}

NtGetContextThread PROC
    mov  r10, rcx              ; ThreadHandle
    mov  eax, 0FBh             ; Win11 24H2 SSN
    syscall
    ret
NtGetContextThread ENDP

use windows_sys::Win32::System::Diagnostics::Debug::*;

unsafe fn read_rip(h_thread: isize) -> Option<u64> {
    let mut ctx: CONTEXT = std::mem::zeroed();
    ctx.ContextFlags = CONTEXT_CONTROL_AMD64;   // RIP, RSP, SegCS, EFlags
    // Direct-syscall wrapper omitted for brevity.
    if nt_get_context_thread(h_thread, &mut ctx) >= 0 { Some(ctx.Rip) } else { None }
}

Mapeos MITRE ATT&CK

• T1622Debugger Evasionmitre ↗
• T1055.003Thread Execution Hijackingmitre ↗
• T1106Native APImitre ↗