NtCancelTimer2

Prototype

NTSTATUS NtCancelTimer2(
  HANDLE                  TimerHandle,
  PT2_CANCEL_PARAMETERS   Parameters
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 96 00 00 00      mov eax, 0x96
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Pendant de `NtSetTimer2`. En interne `ExpCancelTimer2` retire le `EX_TIMER` de la file de seconde génération par-PRCB via `KeCancelTimer2`. Si le timer était encore en attente le noyau renvoie `STATUS_SUCCESS` et remplit `Parameters` pour refléter l'état antérieur ; s'il a déjà expiré et que le callback a été lancé ou est en vol, vous obtenez une sémantique de type `STATUS_TIMER_RESUME_IGNORED` — l'appel ne peut pas dé-livrer un APC déjà mis en file vers un thread. À noter que `NtCancelTimer2` est remarquablement stable (`0x8F` sur 1507 → `0x96` sur Win11 24H2) : la SSN originale de 1507 a survécu jusqu'au remaniement de table de syscalls Win11 24H2, car l'index reflète la position alphabétique triée parmi les insertions/suppressions — et très peu a été inséré *avant* `Cancel*` pendant des années.

Usage courant par les malwares

Utilisé comme teardown symétrique pour les sleep masks basés sur Timer2 (Cronos, Zilean) : juste avant la sortie de l'implant, ou quand il défait un cycle de masquage temporaire, `NtCancelTimer2` désarme le timer pour que le wait alertable se termine proprement. Certains kits l'utilisent aussi défensivement — si un EDR a commencé à parcourir les listes de timers du threadpool, annuler le timer tôt *retire l'objet de la liste* avant que le scan ne corrèle le pointeur callback avec de la RWX privée. Faible signal malware en lui-même.

Opportunités de détection

Aucun événement Sysmon pour l'annulation Timer2, et l'appel en soi est bénin. Les investigations le considèrent uniquement comme partie d'une *séquence* : `NtCreateTimer2(HIGH_RESOLUTION) → NtSetTimer2(period ≈ 50 ms, callback en RWX) → NtWaitForSingleObjectEx(Alertable=TRUE) → NtCancelTimer2` répété serré est l'empreinte canonique d'un sleep-mask Timer2. Les EDR avec composants kernel (CrowdStrike Falcon, Defender for Endpoint via MAPS) inspectent directement les listes `EX_TIMER` plutôt que de s'appuyer sur les hooks de syscall pour celui-ci.

Exemples de syscalls directs

; Direct syscall stub for NtCancelTimer2 (SSN 0x96 on Win11 24H2 / Server 2025)
NtCancelTimer2 PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 96h          ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtCancelTimer2 ENDP

// Sleep-mask cycle teardown: disarm the timer and close the handle.
typedef struct _T2_CANCEL_PARAMETERS {
    ULONG Version;
    ULONG Reserved;
} T2_CANCEL_PARAMETERS, *PT2_CANCEL_PARAMETERS;

T2_CANCEL_PARAMETERS cp = { 0 };
NTSTATUS st = NtCancelTimer2(hTimer, &cp);
// If st == STATUS_SUCCESS the timer was still armed; otherwise the APC already fired.
NtClose(hTimer);

Mappings MITRE ATT&CK

• T1027.011Fileless Storagemitre ↗
• T1106Native APImitre ↗