NtCreateThreadEx

Prototype

NTSTATUS NtCreateThreadEx(
  PHANDLE              ThreadHandle,
  ACCESS_MASK          DesiredAccess,
  POBJECT_ATTRIBUTES   ObjectAttributes,
  HANDLE               ProcessHandle,
  PVOID                StartRoutine,
  PVOID                Argument,
  ULONG                CreateFlags,
  SIZE_T               ZeroBits,
  SIZE_T               StackSize,
  SIZE_T               MaximumStackSize,
  PPS_ATTRIBUTE_LIST   AttributeList
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 C2 00 00 00      mov eax, 0xC2     ; win10-22h2 / win11-21h2 differ
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Contrairement à beaucoup de ses voisins, `NtCreateThreadEx` a un SSN qui *change à chaque mise à jour de fonctionnalité* : `0xC2` sur Win10 21H2/22H2, `0xC6` sur Win11 21H2, `0xC7` sur 22H2/23H2, `0xC9` sur 24H2 et Server 2025. Coder en dur ce numéro est fragile — la résolution dynamique via Hell's Gate ou Halo's Gate est fortement recommandée. C'est la bête de somme côté noyau derrière `CreateRemoteThread`, `CreateRemoteThreadEx` et `CreateThread` ; l'ancien `NtCreateThread` est essentiellement obsolète. Passer une `PS_ATTRIBUTE_LIST` avec `PsAttributeIdealProcessor` ou `PsAttributeClientId` permet d'épingler le thread ou de lui assigner un CID forgé.

Usage courant par les malwares

L'étape d'exécution de l'injection distante classique : après `NtAllocateVirtualMemory` + `NtWriteVirtualMemory` + `NtProtectVirtualMemory`, ce syscall est ce qui lance réellement le payload dans le processus distant. Souvent appelé avec `CREATE_SUSPENDED` pour que l'implant installe un `CONTEXT` personnalisé (PEB walking, stack spoof) via `NtSetContextThread` avant `NtResumeThread`. Les variantes incluent `LoadLibraryA` comme `StartRoutine` (injection DLL old-school), des leurres `RtlExitUserThread` ou une chaîne JOP/ROP qui pivote dans la cible.

Opportunités de détection

Sysmon Event ID 8 (`CreateRemoteThread`) est l'événement phare — il se déclenche dès que les processus source et cible diffèrent, avec `SourceImage`, `TargetImage`, `StartAddress` et un hash de pile. ETW Threat Intelligence émet `EtwTiLogCreateThread` pour la création de thread distant et est consommé par les principaux EDR. Les callbacks noyau `PsSetCreateThreadNotifyRoutine`/`PsSetCreateThreadNotifyRoutineEx` se déclenchent synchroniquement et ne peuvent être contournés par des syscalls directs userland. Une `StartAddress` qui ne pointe pas vers une image chargée (donc en mémoire privée) est le signal unique le plus fort.

Exemples de syscalls directs

; Direct syscall stub for NtCreateThreadEx (SSN 0xC9 on Win11 24H2 / Server 2025).
; WARNING: this SSN moves between feature updates — prefer dynamic resolution.
NtCreateThreadEx PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0C9h         ; SSN for win11-24h2
    syscall
    ret
NtCreateThreadEx ENDP

// Spawn the thread suspended so we can rewrite RIP / RSP before resuming.
HANDLE  hThread = NULL;
NTSTATUS st = NtCreateThreadEx(&hThread, THREAD_ALL_ACCESS, NULL,
                               hRemote, payload_rva, NULL,
                               THREAD_CREATE_FLAGS_CREATE_SUSPENDED,
                               0, 0, 0, NULL);
if (!NT_SUCCESS(st)) return st;

CONTEXT ctx = { .ContextFlags = CONTEXT_FULL };
NtGetContextThread(hThread, &ctx);
ctx.Rip = (DWORD64)real_entry;        // pivot away from the decoy StartRoutine
NtSetContextThread(hThread, &ctx);
NtResumeThread(hThread, NULL);

// Hardcoding 0xC2/0xC6/0xC7/0xC9 across builds is fragile — resolve at runtime.
typedef NTSTATUS (NTAPI *pNtCreateThreadEx)(
    PHANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES, HANDLE, PVOID, PVOID,
    ULONG, SIZE_T, SIZE_T, SIZE_T, PVOID);

DWORD ssn = GetSyscallNumber(GetProcAddress(GetModuleHandleA("ntdll.dll"),
                                            "NtCreateThreadEx"));
set_ssn(ssn);
indirect_syscall_invoke(/* ... */);

Mappings MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1055.002Portable Executable Injectionmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1620Reflective Code Loadingmitre ↗