NtCancelTimer

Prototype

NTSTATUS NtCancelTimer(
  HANDLE    TimerHandle,
  PBOOLEAN  CurrentState
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 61 00 00 00      mov eax, 0x61
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtCancelTimer désarme un timer précédemment armé par NtSetTimer. Le paramètre out `CurrentState` indique si l'annulation a couru contre l'expiration : TRUE signifie que le timer était encore dans la liste pending du dispatcher (annulation gagnée), FALSE signifie que le timer s'est déclenché avant le syscall (et toute routine APC a déjà été mise en file ou exécutée). Le SSN `0x61` est gelé sur toutes les builds Windows 10/11. La routine noyau `KeCancelTimer` la sous-tend.

Usage courant par les malwares

Couplé à NtSetTimer dans les designs d'implant *sleep mask* et *delayed execution*. Cycle de vie typique : NtCreateTimer + NtSetTimer (période + APC) → travail de l'implant → NtCancelTimer + NtClose au teardown pour supprimer la mise à feu APC périodique qui sinon continuerait à dispatcher dans du shellcode libéré. Certains implants utilisent aussi NtCancelTimer pour *replanifier dynamiquement* les intervalles de sommeil — annuler l'armement courant et appeler NtSetTimer avec une nouvelle DueTime en réponse à une commande C2. Pas une primitive offensive en soi ; le signal vient du *couplage* avec NtSetTimer / NtQueueApcThread.

Opportunités de détection

Comme les autres primitives event/timer, NtCancelTimer est du trafic légitime à fort volume. Le signal de détection est la *paire* : NtSetTimer avec un `TimerApcRoutine` non-NULL pointant dans une région RWX ou non-backed, suivi d'un NtCancelTimer sur le même handle lors de la sortie du processus ou du teardown. Le provider ETW `Microsoft-Windows-Kernel-EventTracing` et le flag legacy `KernelTimer` de `Microsoft-Windows-Kernel-Process` donnent du contexte.

Exemples de syscalls directs

; Direct syscall stub for NtCancelTimer (SSN 0x61, stable Win10 1507+)
NtCancelTimer PROC
    mov  r10, rcx          ; TimerHandle
    mov  eax, 61h          ; SSN
    syscall
    ret
NtCancelTimer ENDP

// Implant shutdown: disarm the periodic APC timer that ticks our sleep mask.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtCancelTimer)(HANDLE, PBOOLEAN);

void TeardownSleepMask(HANDLE hTimer) {
    BOOLEAN wasPending = FALSE;
    pNtCancelTimer fn = (pNtCancelTimer)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtCancelTimer");
    fn(hTimer, &wasPending);
    // wasPending == FALSE => the APC has already queued; flush APCs with a brief alertable wait.
    NtClose(hTimer);
}

// Cargo: ntapi = "0.4"
use ntapi::ntexapi::{NtCancelTimer, NtSetTimer};
use winapi::shared::ntdef::{BOOLEAN, HANDLE, LARGE_INTEGER};

unsafe fn reschedule(timer: HANDLE, new_due_100ns: i64) {
    let mut was_pending: BOOLEAN = 0;
    NtCancelTimer(timer, &mut was_pending);

    let mut due: LARGE_INTEGER = std::mem::zeroed();
    *due.QuadPart_mut() = -new_due_100ns; // negative = relative
    let mut prev: BOOLEAN = 0;
    NtSetTimer(timer, &mut due, None, std::ptr::null_mut(), 0, 0, &mut prev);
}

Mappings MITRE ATT&CK

• T1106Native APImitre ↗
• T1027Obfuscated Files or Informationmitre ↗