NtResetEvent

Prototipo

NTSTATUS NtResetEvent(
  HANDLE  EventHandle,
  PLONG   PreviousState
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 87 01 00 00      mov eax, 0x187
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtResetEvent es el inverso de NtSetEvent: lleva un objeto evento al estado no señalado y devuelve opcionalmente el estado *anterior* vía `PreviousState`. La diferencia con NtClearEvent (que hace lo mismo pero descarta el estado anterior) es puramente si al llamante le interesa el valor previo — útil para implementar semántica test-and-clear sin un viaje extra a NtQueryEvent. La rutina kernel `KeResetEvent` subyace tanto a NtResetEvent como a NtClearEvent.

Uso común por malware

Común en implementaciones de *sleep mask* y *bucles ociosos event-driven* usadas por beacons modernos. Patrón típico: el implante arma un evento con NtSetEvent antes de dormir en un homólogo y luego lo resetea vía NtResetEvent al reanudar para estar listo en la siguiente iteración. El sleep mask user-defined de Cobalt Strike, Sleepmask-rs y varios módulos post-ex de Sliver usan así las primitivas event NT para evitar la huella temporal obvia de `NtDelayExecution`. Visto también en bucles worker condicionados por una señal maestra.

Oportunidades de detección

NtResetEvent es *extremadamente* común en código legítimo (toda CRITICAL_SECTION en contención, todo teardown de completación de I/O async), así que por sí solo no es señal. Lo que importa es la correlación: ciclos cortos repetidos `NtCreateEvent → NtSetEvent → NtWait → NtResetEvent` desde un solo hilo con una región de pila RWX o con la secuencia de llamadas en un búfer asignado en heap es coherente con un sleep mask. ETW Threat Intelligence (`Microsoft-Windows-Threat-Intelligence`) expone algunas transiciones de context-switch y wait útiles; si no, telemetría de stack-walking.

Ejemplos de syscalls directos

; Direct syscall stub for NtResetEvent (SSN 0x187 on Win11 24H2)
NtResetEvent PROC
    mov  r10, rcx          ; EventHandle
    mov  eax, 187h         ; SSN — verify per-build
    syscall
    ret
NtResetEvent ENDP

// Atomically clear hEvent and learn whether it was previously signaled.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtResetEvent)(HANDLE, PLONG);

BOOL ConsumeOneShot(HANDLE hEvent) {
    LONG prev = 0;
    pNtResetEvent fn = (pNtResetEvent)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtResetEvent");
    NTSTATUS s = fn(hEvent, &prev);
    return (s >= 0) && (prev != 0);
}

// Cargo: windows-sys = "0.59", ntapi = "0.4"
// Toy sleep-mask loop: park on event, decrypt-process-encrypt, reset, repeat.
use ntapi::ntpsapi::NtResetEvent;
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::System::Threading::WaitForSingleObject;

unsafe fn beacon_loop(wake: HANDLE) {
    loop {
        WaitForSingleObject(wake, u32::MAX);   // park
        // ... unmask payload, run task, remask payload ...
        let mut prev: i32 = 0;
        NtResetEvent(wake, &mut prev);          // rearm for next pulse
    }
}

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗
• T1027.013Encrypted/Encoded Channel — Sleep maskmitre ↗