NtTerminateThread

Prototipo

NTSTATUS NtTerminateThread(
  HANDLE   ThreadHandle,
  NTSTATUS ExitStatus
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 53 00 00 00      mov eax, 0x53
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

SSN agradablemente estable — 0x53 desde Windows 10 1507 hasta Windows 11 24H2 — porque NtTerminateThread se sitúa pronto en la SSDT alfabética y pocas rutinas previas se han añadido. La implementación del kernel pasa por PsTerminateThreadByPointer, decrementa la rundown reference, señaliza a los waiters y finalmente reclama el objeto hilo. Cuando se llama con un handle NULL el kernel sustituye por el hilo actual (semántica ZwCurrentThread / (HANDLE)-2).

Uso común por malware

Tres patrones clásicos. (1) Detener una carrera: terminar un hilo de escaneo de EDR a mitad del escaneo para que una escritura a disco complete antes de re-escanear. (2) Limpieza de stub: tras secuestrar un hilo (NtSetContextThread a shellcode), el payload acaba llamando a NtTerminateThread(NULL, 0) para descartar el hilo secuestrado sin invocar la cadena de retorno ahora corrupta. (3) Suicidio al detectar manipulación: muchos crypters llaman a NtTerminateThread sobre sí mismos en cuanto detectan un depurador adjunto para negarle al analista un proceso vivo. A menudo combinado con NtTerminateProcess para un auto-borrado completo.

Oportunidades de detección

La auto-terminación es ruido invisible. La terminación entre procesos del hilo de *otro* proceso es rara y de alto valor — la mayoría del código legítimo llama a NtTerminateProcess. Capturar vía Microsoft-Windows-Threat-Intelligence ETW (EtwTiLogTerminateThread en algunos builds) o un PsSetCreateThreadNotifyRoutine vigilando valores TerminationStatus inusuales desde PIDs no de sistema. En Windows moderno la señal más útil es la *correlación*: NtOpenThread entre procesos seguido en milisegundos por NtTerminateThread dirigido a un PID de producto de seguridad.

Ejemplos de syscalls directos

; SSN 0x53 — stable Win10 1507 .. Win11 24H2.
NtTerminateThread PROC
    mov  r10, rcx
    mov  eax, 53h
    syscall
    ret
NtTerminateThread ENDP

// At the tail of injected shellcode: cleanly exit the hijacked thread so the
// stack/return-address damage from the hijack never executes.
static VOID PayloadEpilogue(VOID) {
    // ... shellcode work ...
    typedef NTSTATUS (NTAPI *pNtTerminateThread)(HANDLE, NTSTATUS);
    pNtTerminateThread NtTerm = (pNtTerminateThread)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtTerminateThread");
    NtTerm(NULL, 0);   // NULL = current thread
}

use std::arch::asm;

#[inline(never)]
unsafe fn nt_terminate_current_thread() -> ! {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x53",
        "syscall",
        in("rcx") 0usize,    // ThreadHandle = NULL -> current
        in("rdx") 0usize,    // ExitStatus  = 0
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1562.001Impair Defenses: Disable or Modify Toolsmitre ↗
• T1055.003Thread Execution Hijackingmitre ↗
• T1106Native APImitre ↗