NtSignalAndWaitForSingleObject

Prototype

NTSTATUS NtSignalAndWaitForSingleObject(
  HANDLE         SignalHandle,
  HANDLE         WaitHandle,
  BOOLEAN        Alertable,
  PLARGE_INTEGER Timeout
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 C8 01 00 00      mov eax, 0x1C8
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

L'implémentation noyau derrière `SignalObjectAndWait`. La propriété définissante est l'*atomicité* : le signal et l'attente se produisent comme une transition unique du thread, sans fenêtre d'instruction entre les deux durant laquelle un autre thread pourrait observer le signal et rendez-vous avant que ce thread se soit garé sur son objet d'attente. À comparer avec la paire naïve `SetEvent(a); WaitForSingleObject(b, ...)`, qui est deux syscalls distincts avec un écart visible en userland. Le SSN dérive à chaque release majeure (`0x1B0` 1903, `0x1B6` 2004, `0x1C8` 24H2 / Server 2025). Le flag Alertable est ce qui rend les sleep-masks Ekko-family viables : l'attente peut être terminée par un APC, mais la séquence signal-puis-attente reste atomique.

Usage courant par les malwares

La pierre angulaire des conceptions **sleep-mask** sans course. Le motif Ekko / Foliage utilise trois étages de timer-queue dont le handoff est chorégraphié par `NtSignalAndWaitForSingleObject` — à chaque frontière de phase, le thread beacon signale atomiquement « phase N terminée, je suis garé » et attend sur le prochain event que la chaîne de gadgets ROP déclenchera. Sans atomicité, un scanner mémoire qui observe le flag « je suis chiffré » et fait la course pour lire la mémoire avant que l'attente ne s'enregistre peut gagner une fenêtre de course sous-microseconde — l'atomicité écrase cette fenêtre à zéro. La même primitive est utilisée dans la synchronisation Windows classique (le `_endthreadex` du runtime C l'utilise pour signaler l'event de fin de thread et s'auto-terminer, libérant atomiquement l'état par-thread du runtime). Certains canaux C2 red-team l'utilisent aussi pour un handoff de dequeue atomique dans des pools de workers lock-free.

Opportunités de détection

Pris isolément, NtSignalAndWaitForSingleObject est mainstream — les thread pools Win32 (`PTP_WORK`), le runtime C, et de nombreuses primitives internes .NET enchaînent à travers lui. Ce n'est *pas* un signal primaire utile. Le motif intéressant est la corrélation avec la chaîne télémétrique sleep-mask Ekko : création de timer-queue (`NtCreateTimer`), trois events ou plus créés dos-à-dos, une région RWX verrouillée via `NtLockVirtualMemory`, puis un motif `NtSignalAndWaitForSingleObject` avec timeouts dans la fourchette secondes-à-minutes. Les scanners mémoire qui snapshottent les octets de working set à intervalles aléatoires — plutôt que de réagir aux syscalls — contournent toute cette classe d'évasion car ils ne dépendent pas de l'observation du handoff atomique.

Exemples de syscalls directs

; Direct syscall stub for NtSignalAndWaitForSingleObject
NtSignalAndWaitForSingleObject PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1C8h         ; SSN (Win11 24H2 / Server 2025)
    syscall
    ret
NtSignalAndWaitForSingleObject ENDP

// Phase handoff in an Ekko sleep mask: atomically signal "encrypted,
// parked" and wait for the wake event. No userland gap for a scanner
// to race into.
#include <windows.h>

typedef NTSTATUS (NTAPI *pNtSignalAndWaitForSingleObject)(
    HANDLE Signal, HANDLE Wait, BOOLEAN Alertable, PLARGE_INTEGER Timeout);

NTSTATUS SleepHandoff(HANDLE h_encrypted_done, HANDLE h_wake) {
    pNtSignalAndWaitForSingleObject NtSignalAndWaitForSingleObject =
        (pNtSignalAndWaitForSingleObject)GetProcAddress(
            GetModuleHandleA("ntdll.dll"), "NtSignalAndWaitForSingleObject");
    // Wait alertable so a timer APC can wake us; infinite timeout.
    return NtSignalAndWaitForSingleObject(
        h_encrypted_done, h_wake, TRUE, NULL);
}

// SignalObjectAndWait wraps NtSignalAndWaitForSingleObject.
// Use it to atomically release a producer event and park on the consumer
// event in a lock-free queue worker.
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::System::Threading::SignalObjectAndWait;

pub unsafe fn handoff(signal: HANDLE, wait: HANDLE, ms: u32) -> u32 {
    SignalObjectAndWait(signal, wait, ms, /* alertable */ 0)
}

Mappings MITRE ATT&CK

• T1027.011Obfuscated Files or Information: Fileless Storagemitre ↗
• T1027Obfuscated Files or Informationmitre ↗
• T1106Native APImitre ↗