NtOpenThread

Prototipo

NTSTATUS NtOpenThread(
  PHANDLE            ThreadHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  PCLIENT_ID         ClientId
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 39 01 00 00      mov eax, 0x139
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtOpenThread es el paso obligatorio para cualquier manipulación entre hilos que aún no disponga de un handle. La estructura CLIENT_ID es lo que la hace potente: se puede especificar un hilo solo por TID (UniqueProcess = NULL) y el kernel lo resuelve a nivel del sistema. La máscara de acceso concedida es filtrada por PsThreadType->ValidAccessMask y por cualquier ObRegisterCallbacks registrado. La mayoría de EDR registran precisamente ese callback para retirar derechos peligrosos (THREAD_SUSPEND_RESUME, THREAD_SET_CONTEXT) cuando el proceso origen no es de confianza.

Uso común por malware

Precursor obligado de casi toda técnica de inyección a nivel de hilo. La pregunta interesante es *qué* máscara de acceso se solicita — `THREAD_GET_CONTEXT | THREAD_SET_CONTEXT | THREAD_SUSPEND_RESUME` es la combinación canónica de "te voy a secuestrar". Los loaders con conciencia OPSEC piden solo lo necesario: primero THREAD_QUERY_LIMITED_INFORMATION para enumerar y luego reabrir con la máscara elevada solo sobre el hilo víctima elegido. Las variantes de Early Bird APC abren hilos ALERTABLE encontrados vía NtQuerySystemInformation(SystemProcessInformation).

Oportunidades de detección

Sysmon Event ID 10 (ProcessAccess) es el equivalente del lado *proceso*; para hilos, el equivalente es Microsoft-Windows-Kernel-Audit-API-Calls (Event ID 5) que se dispara en el ObOpenObjectByPointer subyacente. El filtro más discriminante es la máscara de acceso: las aperturas legítimas casi nunca solicitan THREAD_SET_CONTEXT (0x10) entre procesos. Los EDR suelen hookear NtOpenThread vía ObRegisterCallbacks (kernel) y vía hook inline (usuario); los callbacks de kernel son insoslayables desde modo usuario y son la fuente autoritativa.

Ejemplos de syscalls directos

CLIENT_ID cid = { .UniqueProcess = (HANDLE)(ULONG_PTR)pid,
                  .UniqueThread  = (HANDLE)(ULONG_PTR)tid };
OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, NULL, 0, NULL, NULL);

HANDLE hThread = NULL;
NTSTATUS st = NtOpenThread(
    &hThread,
    THREAD_GET_CONTEXT | THREAD_SET_CONTEXT | THREAD_SUSPEND_RESUME,
    &oa,
    &cid);
if (!NT_SUCCESS(st)) return st;

NtOpenThread PROC
    mov  r10, rcx
    mov  eax, 139h          ; Win11 24H2 SSN
    syscall
    ret
NtOpenThread ENDP

// Resolve gate address from ntdll!NtOpenThread, then jump rather than execute syscall inline.
// Defeats inline-hook detection that whitelists ntdll-originating syscalls.
unsafe fn nt_open_thread(handle: *mut isize, access: u32,
                         oa: *mut ObjectAttributes, cid: *mut ClientId) -> i32 {
    let ssn: u32 = 0x139;            // Win11 24H2
    let gate: usize = find_syscall_insn("NtOpenThread");
    let r: i32;
    core::arch::asm!(
        "mov r10, rcx",
        "mov eax, {ssn:e}",
        "jmp {gate}",
        ssn = in(reg) ssn, gate = in(reg) gate,
        in("rcx") handle, in("rdx") access, in("r8") oa, in("r9") cid,
        lateout("rax") r,
    );
    r
}

Mapeos MITRE ATT&CK

• T1055.003Thread Execution Hijackingmitre ↗
• T1057Process Discoverymitre ↗
• T1106Native APImitre ↗