NtClearEvent

Prototype

NTSTATUS NtClearEvent(
  HANDLE  EventHandle
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 3E 00 00 00      mov eax, 0x3E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtClearEvent est le plus mince des syscalls qui mutent l'état d'un événement : il ne prend qu'un handle, met l'événement à non-signalé et retourne un NTSTATUS. En interne le noyau appelle la même routine `KeResetEvent` que NtResetEvent — la seule différence est que NtClearEvent jette l'état précédent au lieu de l'écrire en user-land, économisant une probe et une écriture sur le pointeur `PreviousState`. Le SSN `0x3E` est gelé sur toutes les builds Windows 10/11. La plupart du code user-mode l'atteint indirectement via `ResetEvent` en Win32, qui dispatche en réalité vers NtClearEvent (pas NtResetEvent) quand l'appelant ne passe pas de pointeur out.

Usage courant par les malwares

Même rôle que NtResetEvent dans les boucles d'implant *sleep mask* et *event-paced*, choisi quand l'appelant n'a pas besoin de l'état précédent et veut l'empreinte syscall la plus petite. Certains loaders de shellcode préfèrent NtClearEvent au `ResetEvent` Win32 précisément parce qu'il y a une indirection de moins pour qu'un hook EDR user-mode se place. Sinon majoritairement légitime.

Opportunités de détection

Comme NtResetEvent, NtClearEvent est du trafic légitime à fort volume et pas un signal en soi. Le récit de détection est identique : chercher des boucles serrées `Set→Wait→Clear` depuis de la mémoire non-backed, ou depuis des threads dont la seule image mappée est suspecte. ETW ne distingue pas clear de reset. Si vous avez déjà hooké NtResetEvent au bord user-mode, assurez-vous que NtClearEvent l'est aussi — sinon un swap d'une ligne de code suffit à contourner le hook.

Exemples de syscalls directs

; Direct syscall stub for NtClearEvent (SSN 0x3E, stable Win10 1507+)
NtClearEvent PROC
    mov  r10, rcx          ; EventHandle
    mov  eax, 3Eh          ; SSN
    syscall
    ret
NtClearEvent ENDP

// One-shot reset; cheaper than ResetEvent because no PreviousState writeback.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtClearEvent)(HANDLE);

NTSTATUS ClearEvt(HANDLE hEvent) {
    pNtClearEvent fn = (pNtClearEvent)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtClearEvent");
    return fn(hEvent);
}

Mappings MITRE ATT&CK

• T1106Native APImitre ↗
• T1027Obfuscated Files or Informationmitre ↗