NtSetEvent

Prototipo

NTSTATUS NtSetEvent(
  HANDLE  EventHandle,
  PLONG   PreviousState
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 0E 00 00 00      mov eax, 0xE
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Transiciona el objeto de evento al estado señalado vía `KeSetEvent` dentro de ntoskrnl.exe. La SSN `0x0E` ha sido estable en todas las builds Win10/11. Para un `SynchronizationEvent` (auto-reset) exactamente un hilo en espera es liberado y el evento vuelve inmediatamente a no señalado; para un `NotificationEvent` (reset manual) todos los waiters actuales y futuros pasan hasta llamar a `NtClearEvent` / `NtResetEvent`. Muy barato — típicamente unos cientos de ciclos cuando no hay waiter que desbloquear.

Uso común por malware

La mitad disparadora del patrón sleep-mask: la rutina APC del timer en cadenas estilo Ekko llama a `NtSetEvent` para despertar el hilo del implante de su espera alertable en cada etapa de la cadena ROP (cifrar → dormir → descifrar → reanudar). En diseños C2 por named-pipe el productor señala el evento tras escribir al pipe para que el consumidor evite un bucle de polling. Algunos loaders también señalan un evento kill-switch para coordinar un teardown limpio entre módulos.

Oportunidades de detección

`NtSetEvent` por sí solo no se registra y es ubicuo. La detección útil es contextual: el *par* `NtSetEvent` seguido en microsegundos por un `NtWaitForSingleObject` (alertable) sobre el mismo handle, ejecutado en un hilo cuyo RIP de código está en memoria RWX privada, es una huella casi patognomónica del sleep-masking in-process. ETW Threat Intelligence no emite un evento dedicado para SetEvent; la correlación de handles a nivel kernel o la inspección de regiones de memoria en los límites del sleep es la vía realista.

Ejemplos de syscalls directos

; Direct syscall stub for NtSetEvent (SSN 0x0E, stable across Win10/11)
NtSetEvent PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0Eh          ; SSN
    syscall
    ret
NtSetEvent ENDP

// APC routine attached to an NtSetTimer; signals the wake-up event for the implant.
VOID NTAPI EkkoTimerApc(PVOID ctx, ULONG lo, ULONG hi) {
    (void)lo; (void)hi;
    HANDLE hEvent = (HANDLE)ctx;
    NtSetEvent(hEvent, NULL);   // wakes the alertable WaitForSingleObject in main thread
}

// Cargo: windows-sys = "0.59" (Win32_System_Threading)
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::System::Threading::SetEvent;

unsafe fn signal(h: HANDLE) -> bool {
    SetEvent(h) != 0
}

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗
• T1027.011Fileless Storagemitre ↗
• T1029Scheduled Transfermitre ↗