NtTestAlert

Prototype

NTSTATUS NtTestAlert(VOID);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 D3 01 00 00      mov eax, 0x1D3
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

`NtTestAlert` force le thread appelant à un checkpoint alertable : si `KeTestAlertThread` renvoie TRUE, le noyau draine la file APC user-mode immédiatement en sautant le thread vers `KiUserApcDispatcher`. Contrairement à `SleepEx(0, TRUE)`, il n'entre pas dans la boucle d'attente — c'est un point de livraison APC purement synchrone. Phnt le définit ; le header Win32 public non. Le SSN bouge à chaque feature update (`0x1A3` sur Win10 1507 → `0x1D3` sur Win11 24H2), donc la résolution dynamique est obligatoire pour du shellcode portable.

Usage courant par les malwares

Le rôle défini est l'**Early Bird APC injection** : créer un processus suspendu, mettre en file une APC user sur son thread initial avec `NtQueueApcThread`, et laisser le thread du loader exécuter `NtTestAlert` dans son init précoce — l'APC s'exécute avant qu'aucune DLL d'AV/EDR n'ait fini de s'initialiser. Variantes d'Early Bird (utilisées par FIN7, Turla, la famille Conti, et réimplémentées dans d'innombrables loaders open source) appellent volontairement `NtTestAlert` pour forcer la livraison de l'APC au lieu d'attendre un point alertable naturel. C'est aussi le primitif de *kickoff* des sleep masks à la Ekko : le thread de masquage met en file une chaîne d'APC sur le thread du beacon, le suspend, et le beacon reprend via `NtTestAlert` → `KiUserApcDispatcher` pour entrer dans la chaîne ROP.

Opportunités de détection

En dehors des débogueurs, services système et quelques chemins d'init CRT, `NtTestAlert` n'est pas un appel courant pour les binaires non Microsoft. Sysmon n'a pas d'événement dédié, mais les collectes EDR avec stack-walking peuvent capter la transition `NtTestAlert → KiUserApcDispatcher → <implant>`. Plus utile : la *combinaison* — processus fraîchement créé dont le premier thread voit `NtQueueApcThread` (depuis ailleurs) suivi d'un `NtTestAlert` in-process et d'un saut immédiat dans une région RX privée — c'est l'empreinte Early Bird. Les callbacks noyau via `PsSetCreateThreadNotifyRoutineEx` sont un meilleur point d'ancrage.

Exemples de syscalls directs

; Direct syscall stub for NtTestAlert (SSN 0x1D3 on Win11 24H2)
NtTestAlert PROC
    mov  r10, rcx          ; syscall convention (no args, but stub still sets r10)
    mov  eax, 1D3h         ; SSN — rebuild for each Windows version
    syscall
    ret
NtTestAlert ENDP

// Within a newly-suspended target thread:
//   1) Queue APC pointing at shellcode
//   2) Resume thread; force-deliver via NtTestAlert from inside the thread context.
extern "C" NTSTATUS NTAPI NtQueueApcThread(HANDLE, PVOID, PVOID, PVOID, PVOID);
extern "C" NTSTATUS NTAPI NtTestAlert(VOID);
extern "C" NTSTATUS NTAPI NtResumeThread(HANDLE, PULONG);

void EarlyBird(HANDLE hThread, PVOID shellcode) {
    NtQueueApcThread(hThread, (PVOID)shellcode, NULL, NULL, NULL);
    NtResumeThread(hThread, NULL);
    // Self-deliver any APCs queued on *this* thread immediately.
    NtTestAlert();
}

// Used to wake a beacon thread out of a self-suspended state into
// the APC chain that drives sleep-mask decryption.
use std::arch::asm;

#[unsafe(naked)]
pub unsafe extern "system" fn nt_test_alert() -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x1D3",   // Win11 24H2 — resolve dynamically in production
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1055.004Asynchronous Procedure Callmitre ↗
• T1106Native APImitre ↗