NtContinue

Prototype

NTSTATUS NtContinue(
  PCONTEXT ContextRecord,
  BOOLEAN  TestAlert
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 43 00 00 00      mov eax, 0x43
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

`NtContinue` est la primitive de retour d'exception du noyau — c'est par lui que SEH et `KiUserExceptionDispatcher` reprennent l'exécution normale après qu'un handler a décidé de continuer. La documentation Microsoft avertit explicitement le code user-mode de ne pas l'appeler directement. En cas de succès, il ne retourne *pas* ; le noyau charge le CONTEXT fourni dans le trap frame et fait un `iretq` vers le user mode. Le SSN est resté `0x43` sur toutes les builds Win10/11.

Usage courant par les malwares

Détourné massivement par les kits de sleep mask modernes. Ekko (l'implémentation de référence par C5pider) utilise une chaîne d'APC déclenchée par `NtSetTimer` qui appelle `NtContinue` avec des CONTEXT forgés pour sauter (ROP) entre des stubs de chiffrement, l'appel sleep et des stubs de déchiffrement — sans jamais écrire le prochain RIP sur la pile, donc les call-stack walkers ne voient que des frames kernel32/ntdll légitimes. La technique se généralise à tout truc `CONTEXT.Rip = <gadget>` : exécution arbitraire en sortie de syscall indirect, contournement de CFG, ou récupération d'une exception fabriquée. Brute Ratel C4 et plusieurs variantes Foliage s'appuient aussi sur `NtContinue` pour des transitions d'état pendant le sleep.

Opportunités de détection

Les appels user-mode directs à `NtContinue` hors du chemin d'exception OS sont inhabituels. Les collecteurs EDR qui parcourent les sites d'appel `KiUserExceptionDispatcher → NtContinue` peuvent signaler les CONTEXT dont le `Rip` pointe en RX/RWX privé plutôt que dans une image chargée. ETW `Microsoft-Windows-Threat-Intelligence` et les protections fondées sur la call-stack introduites dans Windows 11 / les politiques WDAC supplémentaires visent exactement ce motif. L'odeur caractéristique : un module non Microsoft appelant `NtContinue` avec `ContextFlags = CONTEXT_FULL` et `Rip` pointant dans la section data du même module.

Exemples de syscalls directs

; Direct syscall stub for NtContinue (SSN 0x43, all Win10/11 builds)
NtContinue PROC
    mov  r10, rcx          ; ContextRecord
    mov  eax, 43h          ; SSN
    syscall
    ret
NtContinue ENDP

// Crafted CONTEXT redirects the calling thread to an arbitrary gadget.
// Used by sleep masks to invoke SystemFunction032 / VirtualProtect with
// pre-loaded register arguments, then chain back to NtContinue with the
// next stage's CONTEXT.
#include <windows.h>
#include <winternl.h>

extern "C" NTSTATUS NTAPI NtContinue(PCONTEXT, BOOLEAN);

void JumpTo(PVOID gadget, ULONG64 rcx, ULONG64 rdx, ULONG64 r8) {
    CONTEXT ctx = {0};
    ctx.ContextFlags = CONTEXT_FULL;
    RtlCaptureContext(&ctx);
    ctx.Rcx = rcx;
    ctx.Rdx = rdx;
    ctx.R8  = r8;
    ctx.Rip = (ULONG64)gadget;
    NtContinue(&ctx, FALSE);   // never returns on success
}

// Demonstrates the dangerous primitive: load a fully-controlled CONTEXT and resume.
use std::arch::asm;

#[unsafe(naked)]
pub unsafe extern "system" fn nt_continue(
    _ctx: *const u8,
    _test_alert: u8,
) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x43",
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1027.011Fileless Storagemitre ↗
• T1620Reflective Code Loadingmitre ↗
• T1106Native APImitre ↗