NtWaitForMultipleObjects

Prototype

NTSTATUS NtWaitForMultipleObjects(
  ULONG          Count,
  PHANDLE        Handles,
  WAIT_TYPE      WaitType,
  BOOLEAN        Alertable,
  PLARGE_INTEGER Timeout
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 5B 00 00 00      mov eax, 0x5B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Passe par `KeWaitForMultipleObjects` dans ntoskrnl.exe. La SSN `0x5B` est stable sur chaque build Win10/11. Avec `WaitAny`, la valeur de retour `STATUS_WAIT_0..STATUS_WAIT_63` identifie le handle ayant signalé ; avec `WaitAll`, le noyau doit vérifier atomiquement l'état de chaque objet, raison pour laquelle `WaitAll` est comparativement coûteux et `MAXIMUM_WAIT_OBJECTS` plafonné à 64 — le dispatcher traque les waiters via un bloc de taille fixe. Comme `NtWaitForSingleObject`, le flag `Alertable` ouvre le thread à la livraison d'APC utilisateur (renvoyant `STATUS_USER_APC`).

Usage courant par les malwares

Utilisé par des implants maintenant plusieurs sources de réveil simultanées — typiquement *(événement timer)* + *(événement kill-switch)* + *(événement réseau-prêt)* — pour que le beacon réagisse au temps écoulé ou à une commande du canal de contrôle. Les variantes de sleep-mask (Cronos, Zilean) attendent sur l'événement d'étape de chiffrement plus un événement d'annulation pour que le C2 puisse interrompre un cycle de sleep en cours. Certains droppers attendent sur plusieurs handles de threads pour attendre la fin d'étapes de déchiffrement parallèles (WaitAll). Plus rarement, un WaitAny alertable sur des tableaux de handles confectionnés sert de point de réception APC plus souple.

Opportunités de détection

Mêmes mises en garde que `NtWaitForSingleObject` : trop fréquent pour alerter brut. Signaux utiles : `WaitAny` alertable sur un ensemble de handles incluant un événement nommé privé détenu par un processus dont le code réside en mémoire non-backed ; ou un thread attendant régulièrement sur >1 handle dont l'un est un objet noyau de couche transport (\Device\Afd, named pipe, événement nommé) plus un timer event synthétisé. Corréler le contenu de la handle table en mode noyau avec les RIP des threads module-backed à l'entrée en sleep.

Exemples de syscalls directs

; Direct syscall stub for NtWaitForMultipleObjects (SSN 0x5B, stable across Win10/11)
NtWaitForMultipleObjects PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 5Bh          ; SSN
    syscall
    ret
NtWaitForMultipleObjects ENDP

// Beacon wakes on either the sleep-timer event or an out-of-band cancel.
HANDLE waits[2] = { hSleepEvent, hCancelEvent };
NTSTATUS st = NtWaitForMultipleObjects(2, waits, WaitAny, TRUE, NULL);
if (st == STATUS_WAIT_0)       { /* normal beacon tick */ }
else if (st == STATUS_WAIT_1)  { /* operator told us to shut down */ }
else if (st == STATUS_USER_APC){ /* APC fired mid-wait */ }

// Spin up N threads to decrypt stage payload, then synchronize before execution.
HANDLE workers[4];
for (int i = 0; i < 4; i++)
    workers[i] = create_decrypt_worker(stage_slice(i));
NtWaitForMultipleObjects(4, workers, WaitAll, FALSE, NULL);
// All slices decrypted; safe to jump into stage.

Mappings MITRE ATT&CK

• T1055.004Asynchronous Procedure Callmitre ↗
• T1497Virtualization/Sandbox Evasionmitre ↗
• T1106Native APImitre ↗