NtCreateTimer

Prototype

NTSTATUS NtCreateTimer(
  PHANDLE            TimerHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  TIMER_TYPE         TimerType
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 CB 00 00 00      mov eax, 0xCB
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Alloue un objet exécutif `KTIMER` via `ExCreateTimer` / `ObCreateObject`. L'objet est *non armé* à la création — il ne fait rien jusqu'à ce que `NtSetTimer` fournisse une due time et éventuellement une routine APC. La SSN dérive selon les builds (`0xB4` sur 1507 → `0xCB` sur Win11 24H2 / Server 2025), donc les implémentations en syscalls directs doivent résoudre dynamiquement. `NotificationTimer` laisse l'objet dispatcher signalé après expiration (tous les waiters libérés et passent ensuite), tandis que `SynchronizationTimer` se réinitialise automatiquement après avoir libéré un waiter — c'est ce qu'utilisent les sleep masks.

Usage courant par les malwares

La première moitié du **moteur sleep-mask Ekko** (Austin Hudson, 2022) — et le design recopié intégralement par Foliage, Cronos, Zilean et la plupart des loaders crypter modernes qui en dérivent. Un timer est créé, puis `NtSetTimer` l'arme avec `TimerApcRoutine = RtlCaptureContext`/`SetEvent`/`VirtualProtect` comme étapes de chaîne, et l'implant exécute un wait alertable. Chaque expiration de timer file un APC, l'APC exécute une étape ROP qui rechiffre la mémoire de l'implant et ré-arme — produisant un beacon dont le code est RWX → RW → chiffré à chaque cycle, défaisant les scanners mémoire naïfs. NtCreateTimer seul est bénin ; la *triade* (timer + event + wait alertable en mémoire privée) est l'IOC.

Opportunités de détection

Aucun événement Sysmon dédié pour la création de timer. ETW `Microsoft-Windows-Kernel-Object` avec le keyword `Timer` expose la création d'objet ; corréler les handles timer détenus par un thread dont le RIP au moment de `NtSetTimer` est en mémoire non-backed / RWX est le signal haute fidélité. La plupart des EDR qui défont Ekko scannent la pile du thread suspendu et remontent les frames KiUserApcDispatcher au moment où un special user APC se livre — ils attrapent l'étape de chiffrement en vol plutôt que la création du timer.

Exemples de syscalls directs

; Direct syscall stub for NtCreateTimer (SSN 0xCB on Win11 24H2 / Server 2025)
NtCreateTimer PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0CBh         ; SSN — drifts; resolve dynamically for portability
    syscall
    ret
NtCreateTimer ENDP

// Step 1 of the sleep-mask triad: a synchronization timer the APC chain will arm.
HANDLE             hTimer = NULL;
OBJECT_ATTRIBUTES  oa     = { sizeof(oa), 0 };
NTSTATUS st = NtCreateTimer(&hTimer,
                            TIMER_ALL_ACCESS,
                            &oa,
                            SynchronizationTimer);
if (!NT_SUCCESS(st)) return st;
// hTimer will be armed by NtSetTimer with TimerApcRoutine pointing at the ROP gadgets.

// Cargo: windows-sys = "0.59" (Win32_System_Threading)
use windows_sys::Win32::System::Threading::CreateWaitableTimerW;
use std::ptr::null;

unsafe fn make_timer() -> *mut core::ffi::c_void {
    // bManualReset = 0 → SynchronizationTimer kernel-side.
    CreateWaitableTimerW(null(), 0, null())
}

Mappings MITRE ATT&CK

• T1027.011Fileless Storagemitre ↗
• T1106Native APImitre ↗
• T1029Scheduled Transfermitre ↗