NtSetInformationJobObject

Prototype

NTSTATUS NtSetInformationJobObject(
  HANDLE             JobHandle,
  JOBOBJECTINFOCLASS JobObjectInformationClass,
  PVOID              JobObjectInformation,
  ULONG              JobObjectInformationLength
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 A9 01 00 00      mov eax, 0x1A9
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtSetInformationJobObject est le syscall d'application de politique pour les jobs. L'enum JobObjectInformationClass sélectionne ce qui est positionné : JobObjectExtendedLimitInformation (le cheval de bataille — plafonds de nombre de processus, plafonds de working-set, JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE, JOB_OBJECT_LIMIT_BREAKAWAY_OK, JOB_OBJECT_LIMIT_SILENT_BREAKAWAY_OK), JobObjectBasicUIRestrictions (interdire le presse-papiers, les handles USER, les paramètres système — utilisé par toutes les sandboxes modernes), JobObjectAssociateCompletionPortInformation (transformer le job en source d'événements pour les notifications JOB_OBJECT_MSG_* sur un IOCP — surveillance « event-driven » des sorties de processus et des dépassements de limites), JobObjectCpuRateControlInformation, et la famille Win10 `JobObjectNetRateControlInformation`. Le SSN dérive presque à chaque mise à jour majeure.

Usage courant par les malwares

Majoritairement défensif. L'intérêt offensif se concentre sur deux coins : (1) positionner JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE sur un job contenant les helpers d'un implant pour que la fermeture du handle implant fasse disparaître tous les artefacts — une primitive de sortie propre ; (2) basculer JOB_OBJECT_LIMIT_BREAKAWAY_OK ou JOB_OBJECT_LIMIT_SILENT_BREAKAWAY_OK sur un job contrôlé pour laisser les enfants s'échapper, ce que font précisément les exploits de sandbox-escape dès qu'ils obtiennent suffisamment d'accès au job. JobObjectAssociateCompletionPortInformation peut aussi être détourné par un malware de surveillance pour suivre le cycle de vie de processus qu'il contrôle.

Opportunités de détection

ETW Microsoft-Windows-Kernel-Process et Microsoft-Windows-Win32k exposent certains changements de politique de job, mais toutes les classes ne sont pas également instrumentées. La cible à fort signal est JobObjectExtendedLimitInformation avec KILL_ON_JOB_CLOSE ou BREAKAWAY_OK positionné par un processus non-sandbox. Les EDR qui hookent ntdll!NtSetInformationJobObject devraient décoder la classe et signaler (a) les positionneurs inhabituels de BREAKAWAY_OK (préparation de sandbox-escape) et (b) KILL_ON_JOB_CLOSE sur un job qui contient les propres helpers du processus appelant (infrastructure de sortie propre). À combiner avec les événements NtAssignProcessToJobObject pour reconstruire la topologie sandbox complète.

Exemples de syscalls directs

; Direct syscall stub for NtSetInformationJobObject (SSN 0x1A9 on Win11 24H2 / Server 2025)
NtSetInformationJobObject PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1A9h         ; SSN for win11-24h2
    syscall
    ret
NtSetInformationJobObject ENDP

// Make sure every process in the job dies when the last handle to it closes.
JOBOBJECT_EXTENDED_LIMIT_INFORMATION limits = { 0 };
limits.BasicLimitInformation.LimitFlags = JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE
                                        | JOB_OBJECT_LIMIT_DIE_ON_UNHANDLED_EXCEPTION;

NTSTATUS s = NtSetInformationJobObject(hJob,
                                       JobObjectExtendedLimitInformation,
                                       &limits,
                                       sizeof(limits));

// Optional: associate an IOCP for event-driven monitoring
JOBOBJECT_ASSOCIATE_COMPLETION_PORT cp = { (PVOID)0xCAFE, hIoCompletion };
NtSetInformationJobObject(hJob,
                          JobObjectAssociateCompletionPortInformation,
                          &cp, sizeof(cp));

// Cargo: windows-sys = "0.59"  (Win32_System_JobObjects)
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_set_information_job_object_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x1A9",   // Win11 24H2; resolve dynamically for other builds
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1106Native APImitre ↗
• T1564Hide Artifactsmitre ↗
• T1070Indicator Removalmitre ↗