NtTestAlert

Prototipo

NTSTATUS NtTestAlert(VOID);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 D3 01 00 00      mov eax, 0x1D3
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

`NtTestAlert` fuerza al hilo llamante a un checkpoint alertable: si `KeTestAlertThread` devuelve TRUE, el kernel drena la cola de APC user-mode en el acto saltando el hilo a `KiUserApcDispatcher`. A diferencia de `SleepEx(0, TRUE)`, no entra en el bucle de espera — es un punto de entrega de APC puramente síncrono. Phnt lo define; el header Win32 público no. El SSN cambia cada par de feature updates (`0x1A3` en Win10 1507 → `0x1D3` en Win11 24H2), por lo que la resolución dinámica es obligatoria para shellcode portable.

Uso común por malware

El rol definitorio es la **inyección APC Early Bird**: crear un proceso suspendido, encolar una APC user sobre su hilo inicial con `NtQueueApcThread` y dejar que el hilo del loader dispare `NtTestAlert` en su init temprano — la APC se ejecuta antes de que las DLL de AV/EDR maduren. Variantes de Early Bird (usadas por FIN7, Turla, la familia Conti y reimplementadas en innumerables loaders open source) llaman deliberadamente a `NtTestAlert` para forzar la entrega en lugar de esperar un punto alertable natural. También es el primitivo de *arranque* de sleep masks tipo Ekko: el hilo de mascarado encola una cadena APC sobre el hilo del beacon, lo suspende y el beacon reanuda vía `NtTestAlert` → `KiUserApcDispatcher` para entrar en la cadena ROP.

Oportunidades de detección

Fuera de depuradores, servicios del sistema y unas pocas rutas de init de CRT, `NtTestAlert` no es una llamada habitual en binarios no Microsoft. Sysmon no tiene evento dedicado, pero colectores EDR con stack-walking pueden capturar la transición `NtTestAlert → KiUserApcDispatcher → <implante>`. Más útil: la *combinación* — proceso recién creado cuyo primer hilo ve `NtQueueApcThread` (desde fuera) seguido de un `NtTestAlert` in-process y un salto inmediato a una región RX privada — esa es la huella Early Bird. Los callbacks de kernel vía `PsSetCreateThreadNotifyRoutineEx` son un mejor punto de anclaje.

Ejemplos de syscalls directos

; Direct syscall stub for NtTestAlert (SSN 0x1D3 on Win11 24H2)
NtTestAlert PROC
    mov  r10, rcx          ; syscall convention (no args, but stub still sets r10)
    mov  eax, 1D3h         ; SSN — rebuild for each Windows version
    syscall
    ret
NtTestAlert ENDP

// Within a newly-suspended target thread:
//   1) Queue APC pointing at shellcode
//   2) Resume thread; force-deliver via NtTestAlert from inside the thread context.
extern "C" NTSTATUS NTAPI NtQueueApcThread(HANDLE, PVOID, PVOID, PVOID, PVOID);
extern "C" NTSTATUS NTAPI NtTestAlert(VOID);
extern "C" NTSTATUS NTAPI NtResumeThread(HANDLE, PULONG);

void EarlyBird(HANDLE hThread, PVOID shellcode) {
    NtQueueApcThread(hThread, (PVOID)shellcode, NULL, NULL, NULL);
    NtResumeThread(hThread, NULL);
    // Self-deliver any APCs queued on *this* thread immediately.
    NtTestAlert();
}

// Used to wake a beacon thread out of a self-suspended state into
// the APC chain that drives sleep-mask decryption.
use std::arch::asm;

#[unsafe(naked)]
pub unsafe extern "system" fn nt_test_alert() -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x1D3",   // Win11 24H2 — resolve dynamically in production
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1055.004Asynchronous Procedure Callmitre ↗
• T1106Native APImitre ↗