NtDebugActiveProcess

Prototype

NTSTATUS NtDebugActiveProcess(
  HANDLE ProcessHandle,
  HANDLE DebugObjectHandle
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 D6 00 00 00      mov eax, 0xD6
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Appelle DbgkpSetProcessDebugObject, qui parcourt l'EPROCESS, vérifie que DebugPort est NULL et stocke atomiquement le pointeur du DebugObject. Ce test NULL est la source de la limite à un seul débogueur : si le processus est déjà débogué (DebugPort != NULL), l'appel renvoie STATUS_PORT_ALREADY_SET (0xC0000048). Un DebugObjectHandle NULL (ou sans DEBUG_PROCESS_ASSIGN) donne STATUS_INVALID_HANDLE / STATUS_ACCESS_DENIED. Après attachement, toute action primaire dans la cible (load d'image, création/sortie de thread, exception, breakpoint) est canalisée via DbgkSendApiMessage dans la file d'événements du DebugObject pour son débogueur.

Usage courant par les malwares

À combiner avec NtCreateDebugObject pour l'anti-attach classique par self-debug : le loader attache son propre PID à un DebugObject qu'il possède, occupant l'unique port de debug autorisé. Variante : la malware attache un débogueur lancé par l'EDR ou l'analyste à un faux DebugObject (très rare, exige PROCESS_ALL_ACCESS sur l'EDR — vu seulement en PoC). Certains loaders attachent aussi un enfant suspendu fraîchement créé à un DebugObject pour intercepter les exceptions levées par le stub d'unpacking de l'enfant — un débogueur userland qui pilote leur propre schéma de protection.

Opportunités de détection

Le provider ETW Microsoft-Windows-Threat-Intelligence lève un événement à chaque attachement debug — EtwTiLogDebugActiveProcess. Defender for Endpoint, Elastic Endpoint Security et CrowdStrike Falcon le consomment. Le pivot le plus fiable est `parent_pid == child_pid` (self-debug) ou `actor_image` absent d'une petite liste blanche de débogueurs légitimes. Sysmon ne journalise pas l'appel directement, mais Sysmon ProcessAccess Event 10 avec GrantedAccess contenant PROCESS_SUSPEND_RESUME|PROCESS_CREATE_THREAD émis par une image non débogueur est un proxy raisonnable si l'ETW n'est pas disponible.

Exemples de syscalls directs

// Plug-in to InstallSelfDebug() — see NtCreateDebugObject example.
// External DebugActiveProcess() against us now returns 0xC0000048.
typedef NTSTATUS(NTAPI* fnNtDebugActiveProcess)(HANDLE, HANDLE);

BOOL OccupyDebugPort(HANDLE hDebugObject) {
    HMODULE n = GetModuleHandleA("ntdll.dll");
    fnNtDebugActiveProcess pAttach = (fnNtDebugActiveProcess)
        GetProcAddress(n, "NtDebugActiveProcess");
    NTSTATUS s = pAttach((HANDLE)-1 /* current process */, hDebugObject);
    return s == 0; // anything else (incl. 0xC0000048) means a debugger beat us to it
}

; SSN 0xD6 on win11-24h2 / winserver-2025.
NtDebugActiveProcess PROC
    mov  r10, rcx
    mov  eax, 0D6h
    syscall
    ret
NtDebugActiveProcess ENDP

// If NtDebugActiveProcess returns STATUS_PORT_ALREADY_SET (0xC0000048),
// something is already debugging us — anti-debug check.
use std::ffi::c_void;
use windows_sys::Win32::System::LibraryLoader::{GetModuleHandleA, GetProcAddress};

type NtDebugActiveProcess = unsafe extern "system" fn(p: isize, d: isize) -> i32;

pub unsafe fn already_debugged(self_handle: isize, dbg: isize) -> bool {
    let n = GetModuleHandleA(b"ntdll.dll\0".as_ptr());
    let addr = GetProcAddress(n, b"NtDebugActiveProcess\0".as_ptr()).unwrap();
    let f: NtDebugActiveProcess = std::mem::transmute(addr);
    f(self_handle, dbg) as u32 == 0xC000_0048
}

fn _unused(_: *mut c_void) {}

Mappings MITRE ATT&CK

• T1622Debugger Evasionmitre ↗
• T1106Native APImitre ↗