NtResumeThread

Prototype

NTSTATUS NtResumeThread(
  HANDLE ThreadHandle,
  PULONG PreviousSuspendCount
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 52 00 00 00      mov eax, 0x52
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Simple wrapper sur `KeResumeThread` — il décrémente `KTHREAD.SuspendCount` et, si le compteur atteint zéro, retire l'APC de suspension et laisse le scheduler reprendre le thread. Le SSN `0x52` est stable sur tous les builds Win10/11 livrés. Un thread peut être suspendu plusieurs fois : chaque `NtSuspendThread` incrémente le compteur et chaque `NtResumeThread` doit le décrémenter pour réellement reprendre. Le `ResumeThread` Win32 retourne `(DWORD)-1` en cas d'échec et le compteur précédent en cas de succès, ce qui correspond directement à `PreviousSuspendCount`.

Usage courant par les malwares

Presque jamais détourné isolément — mais c'est le *déclencheur* de toute technique d'injection utilisant `CREATE_SUSPENDED`. Process Hollowing (RunPE), Process Doppelgänging, Transacted Hollowing, EarlyBird APC injection, Thread Hijacking et Thread Stack Spoofing se terminent tous par un `NtResumeThread` qui lance le payload posé. Les défenseurs traitent donc la *séquence* `CreateProcess(SUSPENDED)` → unmap/write/queue-APC/set-context → `NtResumeThread` comme le motif canonique, pas le resume isolé.

Opportunités de détection

Pas d'événement Sysmon pour `NtResumeThread` lui-même, et le syscall est bien trop courant (chaque `CREATE_SUSPENDED` se termine légitimement par un) pour être alerté directement. La détection vit dans la corrélation : quand un EDR observe `NtWriteVirtualMemory` ou `NtSetContextThread` contre un thread suivi d'un `NtResumeThread` depuis un processus distant, il lève une alerte d'injection à haute confiance. ETW Threat Intelligence émet un signal sur `EtwTiLogSetContextThread` quand le contexte est patché sur un thread distant — c'est le pivot habituel capturé avant le resume. Les callbacks stack-walk sur la première instruction user-mode après reprise peuvent révéler une `StartAddress` en mémoire privée RWX.

Exemples de syscalls directs

; Direct syscall stub for NtResumeThread (SSN 0x52, stable across all Win10/11)
NtResumeThread PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 52h          ; SSN
    syscall
    ret
NtResumeThread ENDP

// After unmapping the original image and writing the payload, resume the suspended
// primary thread to detonate the planted PE.
ULONG prev = 0;
NTSTATUS st = NtResumeThread(pi.hThread, &prev);
if (!NT_SUCCESS(st)) {
    // Resume failed — clean up the hollowed process before EDR notices.
    TerminateProcess(pi.hProcess, 0);
    return st;
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_resume_thread_stub() {
    // SSN 0x52 across every supported build.
    asm!(
        "mov r10, rcx",
        "mov eax, 0x52",
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1055.012Process Hollowingmitre ↗
• T1055.004Asynchronous Procedure Callmitre ↗
• T1106Native APImitre ↗