NtCreateEvent

Prototype

NTSTATUS NtCreateEvent(
  PHANDLE            EventHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  EVENT_TYPE         EventType,
  BOOLEAN            InitialState
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 48 00 00 00      mov eax, 0x48
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Crée un objet exécutif Event via ObCreateObject + KeInitializeEvent dans ntoskrnl.exe. La SSN `0x48` est stable sur chaque build Win10 et Win11 à ce jour. Deux valeurs `EVENT_TYPE` comptent : `NotificationEvent` reste signalé jusqu'à reset manuel (sémantique de broadcast), tandis que `SynchronizationEvent` se réinitialise automatiquement après libération d'un seul waiter (sémantique de sémaphore-de-un). Lorsqu'un nom est fourni dans `ObjectAttributes` sous `\BaseNamedObjects`, l'événement devient une primitive IPC inter-processus — tout processus capable de `NtOpenEvent` le nom partage le même objet noyau.

Usage courant par les malwares

Utilisé comme épine dorsale de synchronisation des sleep masks modernes (Ekko, Foliage, Cronos, Zilean) : l'implant crée un événement auto-reset, file un timer dont la routine APC le signale, puis attend dessus dans un wait alertable — laissant la chaîne ROP rechiffrer la région de l'implant entre les beacons. Forme aussi la moitié des designs C2 named-pipe-et-event (Brute Ratel C4, pipes de pivot Sliver) où l'événement nommé signale « commande disponible » sans boucle de polling. Un événement nommé signalé sert aussi de single-instance check.

Opportunités de détection

La création d'événements est très fréquente dans chaque processus Windows et n'est pas un signal exploitable seul. La détection se concentre sur le *nom* et le *propriétaire du handle* : événements nommés du style `Global\<random-guid>` ouverts inter-processus depuis des parents non-système, ou événements dont le handle est détenu par un processus qui détient aussi une section writable et un timer (la triade Ekko). Sysmon ne journalise pas directement la création d'événement ; ETW `Microsoft-Windows-Kernel-Object` et les audits de handle Object Manager peuvent être activés sélectivement. Les EDR qui parcourent les tables de handles aux transitions suspend/sleep détectent le pattern de sleep-mask de manière fiable.

Exemples de syscalls directs

; Direct syscall stub for NtCreateEvent (SSN 0x48, stable across Win10/11)
NtCreateEvent PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 48h          ; SSN
    syscall
    ret
NtCreateEvent ENDP

// Auto-reset event signalled by a timer APC; waited on alertably to drive the chain.
HANDLE             hEvent  = NULL;
OBJECT_ATTRIBUTES  oa      = { sizeof(oa), 0 };
NTSTATUS st = NtCreateEvent(&hEvent,
                            EVENT_ALL_ACCESS,
                            &oa,
                            SynchronizationEvent,
                            FALSE);
if (!NT_SUCCESS(st)) return st;
// hEvent is now the rendezvous point between the implant thread and the timer APC.

// Cargo: windows-sys = "0.59" (Win32_System_Threading)
use windows_sys::Win32::System::Threading::CreateEventW;
use windows_sys::Win32::Foundation::{GetLastError, ERROR_ALREADY_EXISTS};
use std::ptr::null;

unsafe fn ensure_single_instance(name: *const u16) -> bool {
    let h = CreateEventW(null(), 1, 0, name);
    if h.is_null() { return false; }
    GetLastError() != ERROR_ALREADY_EXISTS
}

Mappings MITRE ATT&CK

• T1106Native APImitre ↗
• T1027.011Fileless Storagemitre ↗
• T1480Execution Guardrailsmitre ↗