NtResetEvent

Prototype

NTSTATUS NtResetEvent(
  HANDLE  EventHandle,
  PLONG   PreviousState
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 87 01 00 00      mov eax, 0x187
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtResetEvent est l'inverse de NtSetEvent : il met un objet événement à l'état non-signalé et retourne optionnellement l'état *précédent* via `PreviousState`. La distinction avec NtClearEvent (qui fait la même bascule mais sans retourner l'état antérieur) tient uniquement à ce que l'appelant se soucie ou non de la valeur précédente — utile pour implémenter une sémantique test-and-clear sans aller-retour NtQueryEvent supplémentaire. La routine noyau `KeResetEvent` sous-tend à la fois NtResetEvent et NtClearEvent.

Usage courant par les malwares

Courant dans les implémentations de *sleep mask* et de *boucles d'oisiveté event-driven* utilisées par les beacons modernes. Schéma typique : l'implant arme un événement via NtSetEvent avant de dormir sur un homologue, puis le reset via NtResetEvent à la reprise pour être prêt à l'itération suivante. Le sleep mask user-defined de Cobalt Strike, Sleepmask-rs et divers modules post-ex Sliver utilisent ainsi les primitives event NT pour éviter l'empreinte temporelle évidente de `NtDelayExecution`. Vu aussi dans des boucles worker conditionnées par un signal maître.

Opportunités de détection

NtResetEvent est *extrêmement* courant en code légitime (chaque CRITICAL_SECTION en contention, chaque teardown de complétion d'E/S async) donc en soi sans signal. Ce qui compte est la corrélation : des cycles courts répétés `NtCreateEvent → NtSetEvent → NtWait → NtResetEvent` depuis un seul thread avec une région de pile RWX ou avec la séquence d'appels dans un buffer alloué en heap est compatible avec un sleep mask. ETW Threat Intelligence (`Microsoft-Windows-Threat-Intelligence`) expose certaines transitions de context-switch et d'attente exploitables ; sinon, télémétrie de stack-walking.

Exemples de syscalls directs

; Direct syscall stub for NtResetEvent (SSN 0x187 on Win11 24H2)
NtResetEvent PROC
    mov  r10, rcx          ; EventHandle
    mov  eax, 187h         ; SSN — verify per-build
    syscall
    ret
NtResetEvent ENDP

// Atomically clear hEvent and learn whether it was previously signaled.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtResetEvent)(HANDLE, PLONG);

BOOL ConsumeOneShot(HANDLE hEvent) {
    LONG prev = 0;
    pNtResetEvent fn = (pNtResetEvent)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtResetEvent");
    NTSTATUS s = fn(hEvent, &prev);
    return (s >= 0) && (prev != 0);
}

// Cargo: windows-sys = "0.59", ntapi = "0.4"
// Toy sleep-mask loop: park on event, decrypt-process-encrypt, reset, repeat.
use ntapi::ntpsapi::NtResetEvent;
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::System::Threading::WaitForSingleObject;

unsafe fn beacon_loop(wake: HANDLE) {
    loop {
        WaitForSingleObject(wake, u32::MAX);   // park
        // ... unmask payload, run task, remask payload ...
        let mut prev: i32 = 0;
        NtResetEvent(wake, &mut prev);          // rearm for next pulse
    }
}

Mappings MITRE ATT&CK

• T1106Native APImitre ↗
• T1027.013Encrypted/Encoded Channel — Sleep maskmitre ↗