NtSuspendThread

Prototipo

NTSTATUS NtSuspendThread(
  HANDLE  ThreadHandle,
  PULONG  PreviousSuspendCount
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 CF 01 00 00      mov eax, 0x1CF
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtSuspendThread es la primitiva del kernel detrás de SuspendThread / Wow64SuspendThread. Su SSN deriva mucho entre builds porque vive en la zona alta y ordenada alfabéticamente de la System Service Descriptor Table — cada nuevo syscall insertado antes lo desplaza. Cada llamada exitosa incrementa el contador de suspensión rastreado por el kernel (KTHREAD->SuspendCount); el hilo solo se reanuda cuando el contador vuelve a cero mediante llamadas NtResumeThread coincidentes. La rutina termina en KeSuspendThread / PsSuspendThread dentro de ntoskrnl.exe.

Uso común por malware

Dos patrones de abuso dominantes. Primero: secuestro de hilo — suspender un hilo existente, NtGetContextThread, reescribir RIP/RSP para apuntar a shellcode, NtSetContextThread, NtResumeThread (T1055.003). Segundo, cada vez más común: suspender los hilos de escaneo de EDR/AV en el mismo proceso o en uno remoto para ganar una condición de carrera. Variantes (estilo NanoDump) suspenden todos los hilos de lsass.exe antes de leer memoria para obtener una instantánea coherente sin disparar telemetría de creación de hilo. Usado por los BOF `inject` de Cobalt Strike, los payloads de process-hollowing de Sliver y la mayoría de loaders modernos de doppelganging / ghosting.

Oportunidades de detección

NtSuspendThread sobre un hilo remoto es raro y de alto valor — los suspendedores legítimos son depuradores, profilers, GC de .NET y un puñado de shims de compatibilidad. Sysmon no lo registra nativamente; capturar vía ETW-TI (Microsoft-Windows-Threat-Intelligence: EtwTiLogSuspendThread) o vía callback de kernel (ObRegisterCallbacks sobre handles de hilo con THREAD_SUSPEND_RESUME). Las suspensiones entre procesos dirigidas a hilos de productos de seguridad (MsMpEng.exe, Sense.exe, cylancesvc.exe) deben alertarse con alta confianza. Los hooks en modo usuario de EDR sobre ntdll!NtSuspendThread se evaden habitualmente con syscalls directos/indirectos — la telemetría del kernel es el camino fiable.

Ejemplos de syscalls directos

; SSN 0x1CF on Win11 24H2 — do NOT hardcode across builds.
NtSuspendThread PROC
    mov  r10, rcx          ; ThreadHandle
    mov  eax, 1CFh
    syscall
    ret
NtSuspendThread ENDP

// Snapshot all threads in target, suspend each, then read memory.
// Mirrors NanoDump / HandleKatz technique.
HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);
THREADENTRY32 te = { .dwSize = sizeof(te) };
for (BOOL ok = Thread32First(hSnap, &te); ok; ok = Thread32Next(hSnap, &te)) {
    if (te.th32OwnerProcessID != lsassPid) continue;
    HANDLE hT = NtOpenThread_direct(THREAD_SUSPEND_RESUME, te.th32ThreadID);
    if (hT) { NtSuspendThread_direct(hT, NULL); CloseHandle(hT); }
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_suspend_thread_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x1CF",   // Win11 24H2 only
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1055.003Thread Execution Hijackingmitre ↗
• T1003.001OS Credential Dumping: LSASS Memorymitre ↗
• T1106Native APImitre ↗