NtGetContextThread

Prototype

NTSTATUS NtGetContextThread(
  HANDLE    ThreadHandle,
  PCONTEXT  ThreadContext
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 FB 00 00 00      mov eax, 0xFB
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

La structure CONTEXT est spécifique à l'architecture et volumineuse : sur x64 elle fait 1232 octets (CONTEXT) plus une zone XSTATE étendue dont la taille dépend des fonctionnalités CPU activées (les enclaves AVX-512 peuvent la pousser au-delà de 2,5 Ko). Les appelants doivent définir ContextFlags avant l'appel — CONTEXT_CONTROL (Rip, Rsp, EFlags), CONTEXT_INTEGER (Rax..R15), CONTEXT_SEGMENTS, CONTEXT_DEBUG_REGISTERS (DR0..DR7), CONTEXT_FLOATING_POINT, CONTEXT_XSTATE. Le thread devrait être suspendu ; lire le contexte d'un thread en exécution renvoie un instantané qui peut être obsolète à l'arrivée.

Usage courant par les malwares

La moitié lecture de la primitive de détournement de thread : suspendre → obtenir le contexte → patcher Rip/Rsp → poser le contexte → reprendre. Aussi utilisé par du code anti-debug pour lire DR0–DR3 de ses propres threads et détecter les points d'arrêt matériels installés par un analyste (`if (ctx.Dr0 || ctx.Dr1 || ctx.Dr2 || ctx.Dr3) bail();`). Certaines sandbox marquent les threads avec des valeurs sentinelles dans des sélecteurs de segments inutilisés, et les packers les vérifient. Les BOF `inject` de Cobalt Strike, Sliver migrate, ScareCrow et la plupart des variantes Early Bird APC passent par là.

Opportunités de détection

Isolément, NtGetContextThread est d'un volume modéré — debuggers, runtime .NET, profilers et gestionnaires d'exception lisent tous le contexte. Les lectures inter-processus sur des cibles non débogées sont nettement plus rares ; corréler la télémétrie ETW Microsoft-Windows-Threat-Intelligence avec le contexte de relation entre processus (parent/enfant, signataire). La détection la plus actionnable est la *séquence* NtSuspendThread → NtGetContextThread → NtSetContextThread → NtResumeThread dans une fenêtre courte sur un thread distant.

Exemples de syscalls directs

// Detect analyst-set DR0..DR3 on our own primary thread.
CONTEXT ctx = { .ContextFlags = CONTEXT_DEBUG_REGISTERS };
if (NT_SUCCESS(NtGetContextThread(NtCurrentThread(), &ctx))) {
    if (ctx.Dr0 | ctx.Dr1 | ctx.Dr2 | ctx.Dr3) {
        // Hardware breakpoint installed -> exit silently.
        NtTerminateProcess(NtCurrentProcess(), 0);
    }
}

NtGetContextThread PROC
    mov  r10, rcx              ; ThreadHandle
    mov  eax, 0FBh             ; Win11 24H2 SSN
    syscall
    ret
NtGetContextThread ENDP

use windows_sys::Win32::System::Diagnostics::Debug::*;

unsafe fn read_rip(h_thread: isize) -> Option<u64> {
    let mut ctx: CONTEXT = std::mem::zeroed();
    ctx.ContextFlags = CONTEXT_CONTROL_AMD64;   // RIP, RSP, SegCS, EFlags
    // Direct-syscall wrapper omitted for brevity.
    if nt_get_context_thread(h_thread, &mut ctx) >= 0 { Some(ctx.Rip) } else { None }
}

Mappings MITRE ATT&CK

• T1622Debugger Evasionmitre ↗
• T1055.003Thread Execution Hijackingmitre ↗
• T1106Native APImitre ↗