NtResumeThread

Prototipo

NTSTATUS NtResumeThread(
  HANDLE ThreadHandle,
  PULONG PreviousSuspendCount
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 52 00 00 00      mov eax, 0x52
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Wrapper simple sobre `KeResumeThread` — decrementa `KTHREAD.SuspendCount` y, si llega a cero, elimina el APC de suspensión y deja que el scheduler retome el hilo. La SSN `0x52` ha sido estable en todos los builds Win10/11 lanzados. Un hilo puede suspenderse varias veces: cada `NtSuspendThread` incrementa el contador y cada `NtResumeThread` debe decrementarlo para reanudar realmente. El `ResumeThread` Win32 devuelve `(DWORD)-1` en error y el contador previo en éxito, lo que mapea directamente a `PreviousSuspendCount`.

Uso común por malware

Casi nunca se abusa por sí solo — pero es el *disparador* de toda técnica de inyección que usa `CREATE_SUSPENDED`. Process Hollowing (RunPE), Process Doppelgänging, Transacted Hollowing, EarlyBird APC injection, Thread Hijacking y Thread Stack Spoofing terminan todas con un `NtResumeThread` que lanza el payload plantado. Por eso los defensores tratan la *secuencia* `CreateProcess(SUSPENDED)` → unmap/write/queue-APC/set-context → `NtResumeThread` como el patrón canónico, no el resume aislado.

Oportunidades de detección

No hay un evento Sysmon para `NtResumeThread` en sí, y el syscall es demasiado común (cada `CREATE_SUSPENDED` termina legítimamente con uno) para alertar directamente. La detección vive en la correlación: cuando un EDR observa `NtWriteVirtualMemory` o `NtSetContextThread` contra un hilo seguido de `NtResumeThread` desde un proceso remoto, lanza una alerta de inyección de alta confianza. ETW Threat Intelligence emite una señal en `EtwTiLogSetContextThread` cuando se parchea el contexto en un hilo remoto — ese es el pivote habitual capturado antes del resume. Los callbacks de stack-walk en la primera instrucción de modo usuario tras reanudar pueden revelar una `StartAddress` en memoria privada RWX.

Ejemplos de syscalls directos

; Direct syscall stub for NtResumeThread (SSN 0x52, stable across all Win10/11)
NtResumeThread PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 52h          ; SSN
    syscall
    ret
NtResumeThread ENDP

// After unmapping the original image and writing the payload, resume the suspended
// primary thread to detonate the planted PE.
ULONG prev = 0;
NTSTATUS st = NtResumeThread(pi.hThread, &prev);
if (!NT_SUCCESS(st)) {
    // Resume failed — clean up the hollowed process before EDR notices.
    TerminateProcess(pi.hProcess, 0);
    return st;
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_resume_thread_stub() {
    // SSN 0x52 across every supported build.
    asm!(
        "mov r10, rcx",
        "mov eax, 0x52",
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1055.004Asynchronous Procedure Callmitre ↗
• T1106Native APImitre ↗