NtOpenEvent

Prototype

NTSTATUS NtOpenEvent(
  PHANDLE            EventHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 40 00 00 00      mov eax, 0x40
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Ouvre un objet événement existant par son nom, renvoyant STATUS_OBJECT_NAME_NOT_FOUND si le nom n'a jamais été créé. La SSN `0x40` est stable sur chaque build Win10/11 livrée. La résolution se fait dans `ObOpenObjectByName` sous le répertoire spécifié par `ObjectAttributes->RootDirectory` (typiquement `\BaseNamedObjects` ou un `\Sessions\<n>\BaseNamedObjects` par session). Le handle retourné est indépendant de la durée de vie du créateur — une fois que créateur et ouvreur ont tous deux fermé leur handle, l'objet noyau est libéré.

Usage courant par les malwares

Coordination d'implants inter-processus : un stager crée un événement nommé, puis le module persistant l'ouvre pour savoir quand opérer ; ou un watchdog ouvre l'événement pour détecter que le payload principal est encore vivant. Dans le C2 par named-pipe (Brute Ratel, pivots Sliver), le côté serveur ouvre l'événement que le client signale quand des octets sont prêts, évitant le busy-wait. Certains loaders ouvrent un nom d'événement bien connu en kill-switch / sonde de sandbox — si l'événement existe, l'environnement analyste est détecté (garde-fou à la WannaCry, généralisé).

Opportunités de détection

Ouvrir un événement est en soi très fréquent et bénin. Le signal fort est l'ouverture d'événements aux noms suspects (GUID aléatoires, chaînes connues d'une famille comme `Global\Ekko*`, `Global\BR4*`), ou l'ouverture depuis un processus dont la chaîne parent n'est pas celle du créateur. Les événements `OpenHandle` d'ETW `Microsoft-Windows-Kernel-Object` exposent cela. Les EDR qui résolvent `OBJECT_ATTRIBUTES.ObjectName` à chaque appel Nt* d'ouverture (et pas seulement aux couches Win32) attrapent les variantes en syscalls directs qui contournent les hooks `OpenEventW`.

Exemples de syscalls directs

; Direct syscall stub for NtOpenEvent (SSN 0x40, stable across Win10/11)
NtOpenEvent PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 40h          ; SSN
    syscall
    ret
NtOpenEvent ENDP

UNICODE_STRING name;
RtlInitUnicodeString(&name, L"\\BaseNamedObjects\\Global\\BeaconReady");
OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE hEvent = NULL;
NTSTATUS st = NtOpenEvent(&hEvent, EVENT_MODIFY_STATE | SYNCHRONIZE, &oa);
if (st == STATUS_OBJECT_NAME_NOT_FOUND) {
    // creator side hasn't started yet
}

// Cargo: windows-sys = "0.59"
use windows_sys::Win32::System::Threading::{OpenEventW, EVENT_MODIFY_STATE};
use windows_sys::core::w;

unsafe fn looks_like_sandbox() -> bool {
    // Many analyst VMs pre-create well-known names; presence reveals instrumentation.
    !OpenEventW(EVENT_MODIFY_STATE, 0, w!("Global\\CuckooEventMutex")).is_null()
}

Mappings MITRE ATT&CK

• T1106Native APImitre ↗
• T1497Virtualization/Sandbox Evasionmitre ↗
• T1480Execution Guardrailsmitre ↗