NtAssignProcessToJobObject

Prototype

NTSTATUS NtAssignProcessToJobObject(
  HANDLE JobHandle,
  HANDLE ProcessHandle
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 91 00 00 00      mov eax, 0x91
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtAssignProcessToJobObject est l'étape de câblage qui transforme un job fraîchement créé en quelque chose qui affecte réellement un processus. Une fois assigné, le processus hérite de toutes les limites posées sur le job (plafonds de working-set, restrictions UI, taux CPU, politique de breakaway) et contribue à sa comptabilité. Avant Windows 8, un processus ne pouvait être que dans un seul job ; les jobs imbriqués depuis Win8 obligent le noyau à parcourir une chaîne de jobs à chaque contrôle. Le schéma sandbox classique est `NtCreateJobObject → NtSetInformationJobObject(limites + restrictions UI) → NtCreateUserProcess(suspendu) → NtAssignProcessToJobObject → NtResumeThread`.

Usage courant par les malwares

Défensif dans la grande majorité des cas. L'intérêt offensif est sandbox-aware : si le job autorise JOB_OBJECT_LIMIT_BREAKAWAY_OK, un enfant lancé avec CREATE_BREAKAWAY_FROM_JOB s'échappe du conteneur ; de nombreux contournements AppContainer et sandbox Chromium s'appuient sur ce fait. Quelques frameworks red-team appellent NtAssignProcessToJobObject sur leur propre implant pour y attacher une politique KILL_ON_JOB_CLOSE, de sorte que la fermeture du handle d'implant tue tous les helpers spawnés — utile pour une retraite propre. Signal faible isolément, significatif uniquement dans une chaîne avec NtSetInformationJobObject et des requêtes de politique.

Opportunités de détection

Aucun événement Sysmon dédié. ETW Microsoft-Windows-Kernel-Process enregistre les changements d'appartenance à un job ; appairer l'assignation avec le processus à l'origine (qui possède JobHandle ?) est le signal exploitable. Les hooks EDR sur NtAssignProcessToJobObject doivent être corrélés avec le NtCreateJobObject immédiatement précédent et tout NtSetInformationJobObject ayant positionné BREAKAWAY_OK ou KILL_ON_JOB_CLOSE. La détection à haute valeur est un processus qui s'attache lui-même à un job neuf puis lance immédiatement des enfants avec CREATE_BREAKAWAY_FROM_JOB — c'est une forme d'évasion de sandbox, pas une forme normale de sandbox.

Exemples de syscalls directs

; Direct syscall stub for NtAssignProcessToJobObject (SSN 0x91 on Win11 24H2 / Server 2025)
NtAssignProcessToJobObject PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 091h         ; SSN for win11-24h2
    syscall
    ret
NtAssignProcessToJobObject ENDP

// Continued from NtCreateJobObject / NtSetInformationJobObject sandbox setup.
// Spawn the target suspended, attach to the job, only then resume.
PROCESS_INFORMATION pi = { 0 };
STARTUPINFOW si = { sizeof(si) };
CreateProcessW(L"C:\\Windows\\System32\\notepad.exe",
               NULL, NULL, NULL, FALSE,
               CREATE_SUSPENDED,
               NULL, NULL, &si, &pi);

NTSTATUS s = NtAssignProcessToJobObject(hJob, pi.hProcess);
if (!NT_SUCCESS(s)) {
    TerminateProcess(pi.hProcess, 1);
    return s;
}

NtResumeThread(pi.hThread, NULL);   // job limits are now in effect for the child

// Cargo: windows-sys = "0.59"  (Win32_System_JobObjects)
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_assign_process_to_job_object_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x91",    // Win11 24H2; resolve dynamically for other builds
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1106Native APImitre ↗
• T1564Hide Artifactsmitre ↗