NtResumeProcess

Prototype

NTSTATUS NtResumeProcess(
  HANDLE ProcessHandle
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 8A 01 00 00      mov eax, 0x18A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtResumeProcess est le pendant de NtSuspendProcess et il est tout aussi non documenté. Il itère l'EPROCESS ThreadListHead en appelant KeResumeThread sur chaque entrée ; les threads dont le compteur de suspension atteint zéro retournent dans la ready queue du dispatcher. Comme son homologue le SSN dérive presque à chaque release (0x161 → 0x18A sur la fenêtre supportée), et comme son homologue c'est l'équivalent par-processus de ResumeThread sans obliger l'appelant à énumérer les threads via Toolhelp / NtGetNextThread.

Usage courant par les malwares

Apparaît toujours appairé à NtSuspendProcess. Ses trois rôles principaux : (1) fermeture de la boucle **Fork & Run** — après injection et exécution de la logique post-exploitation dans un processus sacrificiel, l'implant appelle NtResumeProcess sur son propre helper s'il s'est lui-même suspendu entre les heartbeats, ou sur le thread BOF une fois le setup terminé ; (2) finalisation du **process hollowing** en ranimant la cible précédemment suspendue après mise en place de l'image malveillante et patch du contexte de thread ; (3) dégeler les processus de base de données / EDR qu'un ransomware avait suspendus pré-chiffrement une fois la passe de chiffrement terminée, pour que les services de la victime redémarrent proprement (courtoisie en double extorsion visant à rendre la récupération tributaire de la bonne foi de l'opérateur).

Opportunités de détection

Pris seul, NtResumeProcess est inoffensif — tout débogueur et le runtime Windows l'utilisent. La télémétrie exploitable est la *paire* : NtSuspendProcess → écriture/injection → NtResumeProcess depuis le même appelant sur la même cible en une courte fenêtre, surtout quand la cible est un candidat sacrificiel (rundll32.exe, notepad.exe, RuntimeBroker.exe) fraîchement spawn par le même appelant. ETW `Microsoft-Windows-Kernel-Audit-API-Calls` expose les invocations Resume quand l'audit policy l'active ; combiner avec Sysmon Event ID 10 (ProcessAccess) montrant PROCESS_SUSPEND_RESUME demandé sur un processus non-enfant pour une alerte à fort signal.

Exemples de syscalls directs

; Direct syscall stub for NtResumeProcess (SSN 0x18A on 24H2/2025)
; SSN climbs every release — resolve dynamically across builds.
NtResumeProcess PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 18Ah         ; SSN
    syscall
    ret
NtResumeProcess ENDP

// Final step of a process-hollowing routine: after writing the malicious
// image, fixing the suspended thread's RIP and Rcx, we resume everything.
#include <windows.h>

typedef NTSTATUS (NTAPI *pNtResumeProcess)(HANDLE);

void FinishHollow(HANDLE hProcess, HANDLE hThread, CONTEXT *ctx) {
    SetThreadContext(hThread, ctx);

    pNtResumeProcess NtResumeProcess = (pNtResumeProcess)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtResumeProcess");
    NtResumeProcess(hProcess);
}

// Cargo: windows-sys = "0.59"
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::System::Threading::{OpenProcess, PROCESS_SUSPEND_RESUME};

extern "system" { fn NtResumeProcess(handle: HANDLE) -> i32; }

pub unsafe fn thaw(pids: &[u32]) {
    for &pid in pids {
        let h = OpenProcess(PROCESS_SUSPEND_RESUME, 0, pid);
        if !h.is_null() { NtResumeProcess(h); }
    }
}

Mappings MITRE ATT&CK

• T1055.012Process Injection: Process Hollowingmitre ↗
• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗