NtSuspendThread

Prototype

NTSTATUS NtSuspendThread(
  HANDLE  ThreadHandle,
  PULONG  PreviousSuspendCount
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 CF 01 00 00      mov eax, 0x1CF
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtSuspendThread est la primitive noyau derrière SuspendThread / Wow64SuspendThread. Son SSN dérive fortement d'un build à l'autre car il se situe dans la partie haute, triée alphabétiquement, de la System Service Descriptor Table — chaque nouveau syscall inséré avant le décale. Chaque appel réussi incrémente le compteur de suspension noyau (KTHREAD->SuspendCount) ; le thread ne reprend que lorsque le compteur revient à zéro via des NtResumeThread correspondants. La routine aboutit à KeSuspendThread / PsSuspendThread dans ntoskrnl.exe.

Usage courant par les malwares

Deux schémas d'abus dominants. Premièrement : le détournement de thread — suspendre un thread existant, NtGetContextThread, réécrire RIP/RSP pour pointer sur du shellcode, NtSetContextThread, NtResumeThread (T1055.003). Deuxièmement, de plus en plus courant : suspendre les threads de scan EDR/AV dans le même processus ou un processus distant pour gagner une course. Des variantes (style NanoDump) suspendent tous les threads de lsass.exe avant de lire la mémoire pour obtenir un snapshot cohérent sans déclencher la télémétrie de création de thread. Utilisé par les BOF `inject` de Cobalt Strike, les payloads de process-hollowing de Sliver et la plupart des loaders modernes de doppelganging / ghosting.

Opportunités de détection

NtSuspendThread sur un thread distant est rare et porteur de signal — les suspendeurs légitimes sont les débogueurs, profileurs, GC .NET et quelques shims de compatibilité. Sysmon ne le journalise pas nativement ; à capturer via ETW-TI (Microsoft-Windows-Threat-Intelligence : EtwTiLogSuspendThread) ou via un callback noyau (ObRegisterCallbacks sur les handles de thread avec THREAD_SUSPEND_RESUME). Les suspensions inter-processus visant les threads de produits de sécurité (MsMpEng.exe, Sense.exe, cylancesvc.exe) doivent déclencher des alertes à haute confiance. Les hooks user-mode EDR sur ntdll!NtSuspendThread sont couramment contournés par des syscalls directs/indirects — la télémétrie noyau est la voie fiable.

Exemples de syscalls directs

; SSN 0x1CF on Win11 24H2 — do NOT hardcode across builds.
NtSuspendThread PROC
    mov  r10, rcx          ; ThreadHandle
    mov  eax, 1CFh
    syscall
    ret
NtSuspendThread ENDP

// Snapshot all threads in target, suspend each, then read memory.
// Mirrors NanoDump / HandleKatz technique.
HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);
THREADENTRY32 te = { .dwSize = sizeof(te) };
for (BOOL ok = Thread32First(hSnap, &te); ok; ok = Thread32Next(hSnap, &te)) {
    if (te.th32OwnerProcessID != lsassPid) continue;
    HANDLE hT = NtOpenThread_direct(THREAD_SUSPEND_RESUME, te.th32ThreadID);
    if (hT) { NtSuspendThread_direct(hT, NULL); CloseHandle(hT); }
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_suspend_thread_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x1CF",   // Win11 24H2 only
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1055.003Thread Execution Hijackingmitre ↗
• T1003.001OS Credential Dumping: LSASS Memorymitre ↗
• T1106Native APImitre ↗