NtSetTimer2

Prototipo

NTSTATUS NtSetTimer2(
  HANDLE              TimerHandle,
  PLARGE_INTEGER      DueTime,
  PLARGE_INTEGER      Period,
  PT2_SET_PARAMETERS  Parameters
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 C0 01 00 00      mov eax, 0x1C0
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Donde el antiguo `NtSetTimer` tomaba la rutina APC y su contexto como parámetros `PTIMER_APC_ROUTINE` / `PVOID` separados, `NtSetTimer2` colapsa todo lo que *modifica* el estado armado en un único bloque `T2_SET_PARAMETERS`. La estructura lleva `Version`, un `TolerableDelay` (usado por el scheduler de coalescencia), un `NoWakeTolerance` opcional (evita sacar la CPU de los C-states), y una unión que elige entre *callback workitem* (usado por `SetThreadpoolTimer`) y *callback APC* (usado cuando el timer alimenta una alertable wait). En el kernel es `ExpSetTimer2` → `KiSetTimer2` y el timer se rearma vía `KiTimerExpiration` en la cola de segunda generación del `PRCB`. La coalescencia es la verdadera razón de Timer2: un flujo de pequeños timers a través de muchos hilos puede fusionarse en la expiración para reducir wakeups en un orden de magnitud.

Uso común por malware

En diseños de sleep-mask que adoptaron Timer2 (Cronos / Zilean y varios kits red-team privados) `NtSetTimer2` es la llamada que *realmente arma* el timer: el campo `T2_SET_PARAMETERS::Callback.Routine` apunta al primer gadget ROP de la cadena de cifrado, y un `DueTime` corto (típicamente 1-5 ms relativo) más un `Period` no cero hace que la cadena se rearme sola. Poner `NoWakeTolerance` a un valor alto reduce wakeups de CPU, haciendo que la postura idle del implante sea indistinguible de un consumidor threadpool normal como Edge o Teams. Algunas variantes de **PoolParty** pasan `Parameters` que apuntan a memoria de *otro proceso* mediante un work-item infiltrado, abusando del worker factory del threadpool para entregar ejecución.

Oportunidades de detección

En telemetría, `NtSetTimer2` es el cuello de botella porque `NtCreateTimer2` es demasiado ruidoso en apps legítimas. ETW-TI (`Microsoft-Windows-Threat-Intelligence`) *no* emite actualmente un evento dedicado al armado de Timer2; ETW `Microsoft-Windows-Kernel-Process` y `Microsoft-Windows-Threading` juntos permiten reconstruirlo. La señal fuerte es: `Parameters->Callback.Routine` en memoria no respaldada / RWX `MEM_PRIVATE`, `DueTime` corto (< 100 ms) combinado con un `Period` que coincide con la cadencia derivada de Ekko de 50-100 ms, y un hilo llamante cuyo propio entry point está en memoria privada. CrowdStrike, Defender for Endpoint y Elastic detectan Ekko *vía la consecuencia* — la alertable wait en memoria RWX — más que vía este syscall.

Ejemplos de syscalls directos

; Direct syscall stub for NtSetTimer2 (SSN 0x1C0 on Win11 24H2 / Server 2025)
NtSetTimer2 PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1C0h         ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtSetTimer2 ENDP

// Arm the Timer2 created earlier; APC delivery will run the ROP chain that
// flips implant memory between encrypted RW and executable RX.
typedef struct _T2_SET_PARAMETERS_V0 {
    ULONG Version;
    ULONG Reserved;
    LONG64 NoWakeTolerance;
} T2_SET_PARAMETERS, *PT2_SET_PARAMETERS;

LARGE_INTEGER due    = { .QuadPart = -50000 };          // 5 ms relative
LARGE_INTEGER period = { .QuadPart = 50 };               // 50 ms
T2_SET_PARAMETERS p = { .Version = 0, .NoWakeTolerance = 50 * 10000 };

NTSTATUS st = NtSetTimer2(hTimer, &due, &period, &p);

// Cargo: windows-sys = "0.59" (Win32_System_Threading, Win32_Foundation)
use windows_sys::Win32::System::Threading::{SetThreadpoolTimer, PTP_TIMER};
use windows_sys::Win32::Foundation::FILETIME;

unsafe fn arm(t: PTP_TIMER) {
    let mut due: FILETIME = std::mem::zeroed();
    // Negative => relative 100ns; -50_000 == 5 ms.
    let rel: i64 = -50_000;
    due.dwLowDateTime  = (rel as u64) as u32;
    due.dwHighDateTime = ((rel as u64) >> 32) as u32;
    SetThreadpoolTimer(t, &due, 50 /* period ms */, 100 /* tolerance ms */);
}

Mapeos MITRE ATT&CK

• T1027.011Fileless Storagemitre ↗
• T1106Native APImitre ↗
• T1029Scheduled Transfermitre ↗