NtDeleteAtom

Prototype

NTSTATUS NtDeleteAtom(
  RTL_ATOM Atom
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 D8 00 00 00      mov eax, 0xD8
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Le miroir de `NtAddAtom`. Chaque AddAtom réussi sur un nom existant incrémente un refcount ; DeleteAtom le décrémente. L'atome n'est physiquement retiré de la table globale que lorsque le compteur atteint zéro. Les wrappers Win32 `GlobalDeleteAtom` et `DeleteAtom` passent par ici. Il n'y a pas de comptabilité par processus — n'importe quel processus connaissant l'ID atome peut décrémenter le compteur, ce qui est à la fois la commodité de l'API et le piège de nettoyage. Renvoie STATUS_INVALID_HANDLE pour un ID hors plage utilisateur ou un atome jamais ajouté.

Usage courant par les malwares

**Nettoyage Atom Bombing** : le PoC original d'enSilo (Tal Liberman 2016) et l'adaptation Dridex 2017 appellent tous deux NtDeleteAtom sur les IDs d'atomes de shellcode contrebandé après que l'APC cible a copié les octets dans l'espace d'adresses de la victime. Sauter le nettoyage laisse les octets de shellcode dans la table d'atomes globale pour toujours (enfin, jusqu'au reboot) — un cadeau forensique pour tout analyste qui lance `!atom` dans WinDbg contre une machine live, ou qui diffe la table d'atomes avant et après une injection suspectée. Hors nettoyage Atom Bomb, le signal est essentiellement nul — `NtDeleteAtom` est tiré des millions de fois par jour par des apps légitimes qui enregistrent et détruisent des classes de fenêtres, topics DDE et chaînes IME.

Opportunités de détection

Pris isolément, NtDeleteAtom est l'un des syscalls les plus bruyants sur un desktop Windows — Explorer, toute app WPF/WinForms, la stack d'entrée, DWM, brassent constamment la table d'atomes. Le pivot de détection est `NtAddAtom` avec des noms anormaux (longs, binaires) ; si vous alertez sur le trafic AddAtom suspect, le DeleteAtom correspondant vient gratuitement dans le même flow. L'extension WinDbg `!atom` peut être scriptée via LiveKD / lkd pour snapshotter périodiquement la table globale et differ les entrées dont les noms ne sont pas de l'UTF-16 valide ou dont la longueur en octets dépasse la taille typique de 32 octets d'une classe de fenêtre — ce sont des résiduels Atom Bomb. ETW Microsoft-Windows-Kernel-Audit-API-Calls couvre l'appel mais à très haut volume.

Exemples de syscalls directs

; Direct syscall stub for NtDeleteAtom (SSN 0xD8 on Win11 24H2)
NtDeleteAtom PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0D8h         ; SSN — varies per build
    syscall
    ret
NtDeleteAtom ENDP

// After NtQueueApcThread has delivered the GlobalGetAtomName APC into the
// target and the shellcode bytes have landed in the victim's buffer,
// scrub the smuggled atom IDs from the global table.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtDeleteAtom)(USHORT);

VOID AtomBombCleanup(const USHORT* ids, ULONG count) {
    pNtDeleteAtom NtDeleteAtom = (pNtDeleteAtom)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtDeleteAtom");
    for (ULONG i = 0; i < count; ++i) {
        // Refcount may be >1 if the OS interned the same string elsewhere
        // — call until the kernel returns STATUS_INVALID_HANDLE.
        while (NtDeleteAtom(ids[i]) == 0) { /* loop */ }
    }
}

// Cargo: windows-sys = "0.59" (Win32_System_DataExchange)
// Symmetric DeleteAtom for a string we registered with GlobalAddAtomW.
use windows_sys::Win32::System::DataExchange::GlobalDeleteAtom;

pub unsafe fn drop_atom(id: u16) {
    // Returns 0 on success — refcount hit zero.
    let _residual = GlobalDeleteAtom(id);
}

Mappings MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗
• T1070Indicator Removalmitre ↗