NtPulseEvent

Prototipo

NTSTATUS NtPulseEvent(
  HANDLE  EventHandle,
  PLONG   PreviousState
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 48 01 00 00      mov eax, 0x148
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtPulseEvent realiza un *set y luego reset* sobre un objeto evento como una sola operación atómica. Para un evento manual-reset libera a *todos* los hilos que esperan y luego deja inmediatamente el evento en no-señalado, por lo que un hilo que llegue un microsegundo después se pierde el pulso entero. Para un evento sync (auto-reset) libera como mucho un waiter. Microsoft desaconseja desde hace tiempo su uso en user mode porque la ventana señalada es susceptible a carreras: PulseEvent es en gran parte un vestigio del diseño original de NT. El kernel todavía lo implementa (KePulseEvent) y ntoskrnl lo usa internamente en algunas rutas de señalización en ráfaga.

Uso común por malware

Mayoritariamente *legítimo*. Algunos implantes y packers usan una señal pulse para liberar un pool de hilos worker en una sola ráfaga (p. ej. orquestar un pool de descifradores). Como la semántica racy de PulseEvent obliga a que el wait ya esté establecido, los atacantes eligen más a menudo NtSetEvent seguido de NtResetEvent o un semáforo contado. No es una señal de detección significativa por sí misma.

Oportunidades de detección

No es una llamada de alta señal. Microsoft-Windows-Kernel-EventTracing y los eventos de objetos de sincronización no exponen PulseEvent por separado. Los hooks EDR sobre `ntdll!NtPulseEvent` son poco comunes. Investigar solo junto con otras anomalías — por ejemplo un pulso sobre un evento cuyo nombre (visible vía NtQueryObject) parezca sospechoso o imite una primitiva de sincronización conocida.

Ejemplos de syscalls directos

; Direct syscall stub for NtPulseEvent (SSN 0x148 on Win11 24H2)
NtPulseEvent PROC
    mov  r10, rcx          ; EventHandle
    mov  eax, 148h         ; SSN — verify per-build
    syscall
    ret
NtPulseEvent ENDP

// Wake every thread currently parked on hEvent, then immediately drop signaled state.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtPulseEvent)(HANDLE, PLONG);

NTSTATUS PulseBurst(HANDLE hEvent) {
    LONG previous = 0;
    pNtPulseEvent fn = (pNtPulseEvent)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtPulseEvent");
    return fn(hEvent, &previous);
}

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗