NtCreateMutant

Prototype

NTSTATUS NtCreateMutant(
  PHANDLE            MutantHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  BOOLEAN            InitialOwner
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 BA 00 00 00      mov eax, 0xBA
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Implémenté par `KeInitializeMutant` dans ntoskrnl.exe. Contrairement aux événements, la SSN *dérive* selon les builds (`0xA7` sur 1507 jusqu'à `0xBA` sur Win11 24H2 / Server 2025), donc toute implémentation en syscalls directs requiert une résolution dynamique. Un mutant est détenu par exactement un thread à la fois et supporte l'acquisition récursive ; il devient abandonné (retour `STATUS_ABANDONED_WAIT_0`) si le thread propriétaire sort sans libérer — propriété IPC résiliente aux crashs. La famille Win32 `CreateMutex` appelle in fine cette routine.

Usage courant par les malwares

L'enforcement de single-instance est l'usage canonique : au démarrage, l'implant appelle `NtCreateMutant` avec un nom codé en dur ou dérivé par hash ; si `GetLastError == ERROR_ALREADY_EXISTS` (ou en termes NT `STATUS_OBJECT_NAME_COLLISION`), une instance existante tourne et la nouvelle quitte. Les catalogues d'IOC publics (Emotet, TrickBot, Qakbot, IcedID, NotPetya, Ryuk, Conti) listent des centaines de noms de mutex propres aux familles exactement pour cette raison. Usage secondaire : primitive de verrouillage intra-processus entre modules workers, et sonde anti-sandbox (certaines sandboxes pré-créent des noms connus pour provoquer une sortie précoce).

Opportunités de détection

Sysmon Event ID 1 / 11 ne captent pas directement la création de mutex ; les configurations Sysmon peuvent inclure des matches `<RuleGroup>` sur `OriginalFileName` plus une corrélation via ETW. La télémétrie de grande valeur est ETW `Microsoft-Windows-Kernel-Object` avec le keyword `Mutant`, ou le parsing `EvtxEcmd` des audits de handle Object Manager lorsque des SACL sont posées sur `\BaseNamedObjects\<nom-famille>`. Les IOC de noms de mutex restent l'une des voies de détection les moins chères et les plus durables pour les malwares de commodité — les règles Yara sur mémoire ou strings attrapent encore la plupart des droppers.

Exemples de syscalls directs

; Direct syscall stub for NtCreateMutant (SSN 0xBA on Win11 24H2 / Server 2025)
NtCreateMutant PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0BAh         ; SSN (24H2 — resolve dynamically for portability)
    syscall
    ret
NtCreateMutant ENDP

// Refuse to run a second copy. Family-specific mutex name kept in cleartext for clarity.
UNICODE_STRING name;
RtlInitUnicodeString(&name, L"\\BaseNamedObjects\\Global\\{8B4E4-implant-singleton}");
OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE  h = NULL;
NTSTATUS st = NtCreateMutant(&h, MUTANT_ALL_ACCESS, &oa, FALSE);
if (st == STATUS_OBJECT_NAME_COLLISION) { ExitProcess(0); }  // already running

// Cargo: windows-sys = "0.59" (Win32_System_Threading)
use windows_sys::Win32::System::Threading::CreateMutexW;
use windows_sys::Win32::Foundation::{GetLastError, ERROR_ALREADY_EXISTS};
use windows_sys::core::w;
use std::ptr::null;

unsafe fn singleton() -> bool {
    let h = CreateMutexW(null(), 0, w!("Global\\{my-implant-singleton}"));
    !h.is_null() && GetLastError() != ERROR_ALREADY_EXISTS
}

Mappings MITRE ATT&CK

• T1480Execution Guardrailsmitre ↗
• T1106Native APImitre ↗
• T1497Virtualization/Sandbox Evasionmitre ↗