NtReleaseKeyedEvent

Prototipo

NTSTATUS NtReleaseKeyedEvent(
  HANDLE         KeyedEventHandle,
  PVOID          Key,
  BOOLEAN        Alertable,
  PLARGE_INTEGER Timeout
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 7D 01 00 00      mov eax, 0x17D
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

La mitad wake del par keyed event, y famosamente *simétrica* a `NtWaitForKeyedEvent`: una release sin waiter coincidente bloquea al llamante hasta que aparezca un waiter, en lugar de descartar el wake como haría un event normal. Esto es lo que hace la primitiva correcta para la ruta out-of-pool de `RtlEnterCriticalSection` — releases y waits se autorregulan, así un único event global atiende contención ilimitada sin perder wakes. El handler de kernel es `ExpReleaseWaitForKeyedEvent` (un pequeño inverso de `ExpWaitForKeyedEvent`); ambos consultan la tabla hash por event que empareja tuplas `(process, key)`.

Uso común por malware

Espejo de `NtWaitForKeyedEvent`. En cadenas de obfuscación de sleep, este es el syscall que *despierta al beacon* tras que el sleep mask se haya desprotegido y descifrado. Algunos diseños lo invocan desde un APC entregado por un callback `NtSetTimer2`, otros desde un gadget ROP encadenado a un contexto falso — en cualquier caso, el handle global en el PEB significa que ningún nuevo objeto nombrado se toca. Fuera de ese patrón muy estrecho, las llamadas a `NtReleaseKeyedEvent` desde código no-Microsoft son prácticamente inexistentes.

Oportunidades de detección

Igual que `NtWaitForKeyedEvent` — no hay superficie ETW / Sysmon dirigida. Los ETW de introspección de memoria (eventos `AllocVm` / `ProtectVm` del proveedor `Microsoft-Windows-Threat-Intelligence`) captando un flip RW→RX en páginas privadas *inmediatamente seguido* por un hilo saliendo de `NtWaitForKeyedEvent` es una pista mucho más fuerte que trazar este syscall aislado.

Ejemplos de syscalls directos

; Direct syscall stub for NtReleaseKeyedEvent (SSN 0x17D on Win11 24H2)
NtReleaseKeyedEvent PROC
    mov  r10, rcx          ; KeyedEventHandle
    mov  eax, 17Dh         ; SSN — drifts per build
    syscall
    ret
NtReleaseKeyedEvent ENDP

// Companion to the NtWaitForKeyedEvent low-memory critical-section example.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtReleaseKeyedEvent)(
    HANDLE, PVOID, BOOLEAN, PLARGE_INTEGER);

static pNtReleaseKeyedEvent g_release;

void WakeOnLockWord(volatile void **lockSlot) {
    if (!g_release) {
        g_release = (pNtReleaseKeyedEvent)GetProcAddress(
            GetModuleHandleA("ntdll.dll"), "NtReleaseKeyedEvent");
    }
    // NULL handle ⇒ kernel substitutes peb->KeyedEventHandle.
    // If no waiter exists yet, this call blocks until one shows up — that
    // symmetry is what keeps the global event correct under contention.
    g_release(NULL, (PVOID)lockSlot, FALSE, NULL);
}

// On Win8+ this is the preferred user-mode wake primitive; underneath it
// resolves to keyed-event releases for the futex-style address path.
use windows_sys::Win32::System::Threading::WakeByAddressSingle;

unsafe fn wake_one(addr: *mut u32) {
    WakeByAddressSingle(addr as *const _ as _);
}

Mapeos MITRE ATT&CK

• T1027Obfuscated Files or Informationmitre ↗
• T1106Native APImitre ↗