NtAlpcImpersonateClientOfPort

Prototyp

NTSTATUS NtAlpcImpersonateClientOfPort(
  HANDLE                    PortHandle,
  PPORT_MESSAGE             Message,
  PALPC_IMPERSONATE_INFO    Flags
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 88 00 00 00      mov eax, 0x88
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

`NtAlpcImpersonateClientOfPort` ist das ALPC-Pendant zu `ImpersonateNamedPipeClient`: Der Server-Thread, der gerade eine Nachricht empfangen hat, übernimmt vorübergehend das Primary-Token des Clients, führt eine privilegierte Operation in dessen Namen aus und ruft anschließend `RevertToSelf` auf. Der Impersonation-Level ist durch das `SECURITY_QUALITY_OF_SERVICE.ImpersonationLevel` des Clients beim Connect begrenzt, doch ein Server, der *Impersonate* ohne Client-QoS-Override anfordert, ist die Voreinstellung für fast jeden Windows-Dienst. Jeder Win32-/RPC-`RpcImpersonateClient`-Aufruf gegen ein `ncalrpc`-Binding landet hier. Implementierung: `AlpcpImpersonateClient` in `ntoskrnl.exe`, ruft `SeImpersonateClientEx`.

Häufige Malware-Nutzung

**Dies ist der wertvollste ALPC-Syscall für Privilege Escalation** — entscheidend ist jedoch: Der Bug steckt fast immer im *Aufrufer*, nicht im Syscall selbst. Das Muster: Ein als SYSTEM laufender Dienst exponiert einen ALPC-Endpoint, akzeptiert eine Verbindung eines unprivilegierten Clients, impersoniert diesen für einen Access-Check ("Darf dieser User diese Datei löschen?") und **vergisst dann das Reverten** vor der privilegierten Aktion — oder prüft auf einem anderen Objekt als dem, auf das gehandelt wird (TOCTOU). CVE-2018-8440 (SandboxEscapers Task-Scheduler-ALPC-LPE), CVE-2019-1130 (UMPS-Impersonation), CVE-2020-0668 (Windows-Service-Tracing-LPE) und mehrere Print-Spooler-PrintNightmare-Varianten beruhen alle auf solchem Impersonations-Missbrauch. Malware *ruft* diesen Syscall meist nicht selbst — sie sendet die richtige ALPC-Nachricht zum richtigen Zeitpunkt, um einen SYSTEM-Dienst dazu zu bringen.

Erkennungs­möglichkeiten

Auf der *Aufrufer*-Seite: Der Syscall wird quasi von jedem Windows-RPC-Server bei jeder Nachricht aufgerufen — als primäres Signal nutzlos. Auf der *Exploit*-Seite: auf die Folgen fokussieren. Sysmon Event ID 1 (Process Create) mit `ParentImage=services.exe` / `spoolsv.exe` / `taskschd.exe`, `User=SYSTEM`, aber einem Token, dessen `IntegrityLevel` nicht passt, ist ein starkes Signal. ETW `Microsoft-Windows-Security-Auditing` Event ID 4624 (Logon) Typ 9 (NewCredentials) in Bursts aus einem Service-Host ist verdächtig. Kernel-Mitigations (Microsofts `ImpersonateCheck`-Familie, `RpcServerRegisterAuthInfoExW` mit Restricted-SIDs) senken die Exposition zuverlässiger als Detektionsregeln.

Direkte Syscall-Beispiele

; Direct syscall stub for NtAlpcImpersonateClientOfPort (SSN 0x88 on Win11 24H2)
NtAlpcImpersonateClientOfPort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 88h          ; SSN — drifts per build
    syscall
    ret
NtAlpcImpersonateClientOfPort ENDP

// The bug class lives in callers that forget RevertToSelf, or that
// perform the privileged work on a different object than the one checked.
#include <windows.h>
#include <winternl.h>

typedef struct _ALPC_IMPERSONATE_INFO {
    SECURITY_IMPERSONATION_LEVEL ImpersonationLevel;
    ULONG Flags;
    ULONG RequiredImpersonationLevel;
} ALPC_IMPERSONATE_INFO, *PALPC_IMPERSONATE_INFO;

typedef NTSTATUS (NTAPI *pNtAlpcImpersonateClientOfPort)(
    HANDLE, PPORT_MESSAGE, PALPC_IMPERSONATE_INFO);

NTSTATUS DoAsClient(HANDLE hCommPort, PPORT_MESSAGE pMsg,
                    NTSTATUS (*work)(void)) {
    pNtAlpcImpersonateClientOfPort imp = (pNtAlpcImpersonateClientOfPort)
        GetProcAddress(GetModuleHandleA("ntdll.dll"),
                       "NtAlpcImpersonateClientOfPort");
    NTSTATUS st = imp(hCommPort, pMsg, NULL /* default QoS */);
    if (!NT_SUCCESS(st)) return st;
    st = work();              // ALL privileged work happens here
    RevertToSelf();           // NEVER skip — exploit class is forgetting this
    return st;
}

// Real ALPC LPE chains (CVE-2018-8440, CVE-2020-0668, PrintNightmare variants)
// trick a privileged service into calling NtAlpcImpersonateClientOfPort against
// an attacker-controlled message, then performing FS / registry I/O AFTER the
// impersonation has either been reverted or never applied to the right object.
// The syscall itself behaves correctly — the vulnerability lives in the service.
// This file documents the syscall only; PoCs belong with the CVE references.

MITRE ATT&CK-Mappings

• T1068Exploitation for Privilege Escalationmitre ↗
• T1134.001Access Token Manipulation: Token Impersonation/Theftmitre ↗
• T1106Native APImitre ↗