NtAlpcConnectPort

Prototyp

NTSTATUS NtAlpcConnectPort(
  PHANDLE                    PortHandle,
  PUNICODE_STRING            PortName,
  POBJECT_ATTRIBUTES         ObjectAttributes,
  PALPC_PORT_ATTRIBUTES      PortAttributes,
  ULONG                      Flags,
  PSID                       RequiredServerSid,
  PPORT_MESSAGE              ConnectionMessage,
  PULONG                     BufferLength,
  PALPC_MESSAGE_ATTRIBUTES   OutMessageAttributes,
  PALPC_MESSAGE_ATTRIBUTES   InMessageAttributes,
  PLARGE_INTEGER             Timeout
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 7B 00 00 00      mov eax, 0x7B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

ALPC (Advanced/Asynchronous Local Procedure Call) ist der moderne, undokumentierte Nachfolger des klassischen LPC-Subsystems und das Substrat fast jedes Windows-RPC-Dienstes, der nicht SMB oder TCP nutzt. `NtAlpcConnectPort` ist der client-seitige Handshake — das ALPC-Pendant zu `connect()`. **Es gibt keine öffentliche Win32-Oberfläche**; Konsumenten erreichen ihn indirekt über die RPC-Runtime (`RpcBindingFromStringBindingW` mit `ncalrpc`-Protokoll) oder tiefer über ETWs TraceLogging-IPC. Die 11-Argument-Signatur reproduzieren phnt und SystemInformer originalgetreu.

Häufige Malware-Nutzung

ALPC ist eine Privilege-Escalation-Fläche, keine Code-Execution-Fläche. CVE-2018-8440 (SandboxEscapers *ALPC Task Scheduler* LPE) missbrauchte einen SetSecurityInfo-Aufruf, der per ALPC-Verbindung von jedem User aus erreichbar war, um SYSTEM-Dateien zu übernehmen. PrintNightmare (CVE-2021-1675 / 34527) und Follina-nahe Exploits erreichen Print Spooler und Diagnose-Dienste ebenfalls über ALPC. Jenseits von Exploits nutzen fortgeschrittene Implants ALPC gelegentlich als verdeckten Intra-Process- oder Intra-Host-C2-Kanal zwischen kooperierenden Komponenten (Loader ↔ injizierte DLL ↔ Persistenz-Dienst) — ALPC-Verkehr ist für Sysmon-Netzwerk-Events und die meisten EDRs unsichtbar.

Erkennungs­möglichkeiten

Der ETW-Provider `Microsoft-Windows-Kernel-ALPC` liefert pro Port Connect/Send/Receive-Events, ist aber selten aktiv per Default — flächendeckend zu aktivieren ist teuer. EDRs, die `NtAlpcConnectPort` im User-Mode (oder in `kernel.appcore.dll`) hooken, können den Port-Namen mit dem aufrufenden Prozess korrelieren: Verbindungen aus einem Nicht-System-Prozess zu hochwertigen Ports (`\RPC Control\AppInfo`, `\RPC Control\SECLOGON`, `\Sessions\1\Windows\BaseNamedObjects\spoolss`) sind alarmwürdig. Forensik-Tools wie SystemInformer enumerieren ALPC-Ports pro Prozess — die zuverlässigste Post-Incident-Methode.

Direkte Syscall-Beispiele

; Direct syscall stub for NtAlpcConnectPort (SSN 0x7B on Win11 24H2)
NtAlpcConnectPort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 7Bh          ; SSN — drifts per build
    syscall
    ret
NtAlpcConnectPort ENDP

// Connect from a user-mode client to a named ALPC server port.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtAlpcConnectPort)(
    PHANDLE, PUNICODE_STRING, POBJECT_ATTRIBUTES, PVOID,
    ULONG, PSID, PVOID, PULONG, PVOID, PVOID, PLARGE_INTEGER);

HANDLE OpenServerPort(LPCWSTR name) {
    UNICODE_STRING us; RtlInitUnicodeString(&us, name);
    HANDLE hPort = NULL;
    ULONG bufLen = 0;
    pNtAlpcConnectPort fn = (pNtAlpcConnectPort)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtAlpcConnectPort");
    fn(&hPort, &us, NULL, NULL, 0, NULL, NULL, &bufLen, NULL, NULL, NULL);
    return hPort;
}

// What 99% of legitimate callers actually do — RpcBindingFromStringBindingW
// drives NtAlpcConnectPort under the hood for the ncalrpc transport.
#include <windows.h>
#include <rpc.h>

RPC_BINDING_HANDLE BindLrpc(LPCWSTR ep) {
    LPWSTR bindStr = NULL;
    RpcStringBindingComposeW(NULL, (RPC_WSTR)L"ncalrpc", NULL,
                             (RPC_WSTR)ep, NULL, (RPC_WSTR*)&bindStr);
    RPC_BINDING_HANDLE h = NULL;
    RpcBindingFromStringBindingW((RPC_WSTR)bindStr, &h);
    RpcStringFreeW((RPC_WSTR*)&bindStr);
    return h;
}

MITRE ATT&CK-Mappings

• T1068Exploitation for Privilege Escalationmitre ↗
• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗