NtAlpcOpenSenderThread

Prototyp

NTSTATUS NtAlpcOpenSenderThread(
  PHANDLE             ThreadHandle,
  HANDLE              PortHandle,
  PPORT_MESSAGE       PortMessage,
  ULONG               Flags,
  ACCESS_MASK         DesiredAccess,
  POBJECT_ATTRIBUTES  ObjectAttributes
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 8A 00 00 00      mov eax, 0x8A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Thread-Level-Analogon zu `NtAlpcOpenSenderProcess`. Wo der Prozess-Helper *wer* gerufen hat beantwortet, beantwortet der Thread-Helper *welcher Thread innerhalb wem* gerufen hat — nützlich, wenn ein Server mehrere konkurrierende Requests vom gleichen Client-Prozess unterscheiden muss (typisch in RPC-Servern, die client-seitig Worker-Threads poolen). Die Kernel-Implementierung `AlpcpOpenSenderThread` läuft denselben Pfad wie die Prozess-Variante, löst aber das ETHREAD aus `ClientId.UniqueThread` auf. Übliche Access-Masks: `THREAD_QUERY_LIMITED_INFORMATION` (zum Lesen von `ThreadDynamicCodePolicy`, Attestation-State), `THREAD_SUSPEND_RESUME` (selten; friert den Caller während einer Critical Section ein).

Häufige Malware-Nutzung

Weniger genutzt als die Prozess-Variante, aber dieselbe Vulnerability-Klasse (vergessener Check) gilt. Ein spezifisches Missbrauchs-Muster: ein Server, der einen per-Thread-*Impersonation-Token* ehren will, kann den Sender-Thread öffnen und dann `NtOpenThreadToken(...TRUE /*OpenAsSelf*/)` rufen, um das Token zu greifen ohne den formalen `NtAlpcImpersonateClientOfPort`-Pfad — die ALPC-QoS-Policy umgehend. Forshaws Sandbox-Escape-Forschungskatalog enthält mindestens zwei Fälle (Spooler, Search Indexer), wo dieser Token-Grab via `NtAlpcOpenSenderThread` einen SYSTEM-Token-Diebstahl aus einem unprivilegierten Caller ermöglichte. Offensiv auch für Thread-Context-Disclosure nützlich: ein Angreifer, der einen privilegierten RPC-Server kompromittiert hat, kann `NtAlpcOpenSenderThread` mit `THREAD_GET_CONTEXT` rufen und die Register jedes verbindenden Clients snapshotten — eine billige Memory-Disclosure-Primitive.

Erkennungs­möglichkeiten

Gleiche Allowlist-Logik wie `NtAlpcOpenSenderProcess` — die legitimen Aufrufer sind eine kleine, identifizierbare Menge. Jedes Öffnen mit `THREAD_GET_CONTEXT` oder `THREAD_SUSPEND_RESUME` auf dem Sender ist ein starker Outlier und alertierungswürdig — unabhängig vom Prozess. Der ETW-Provider `Microsoft-Windows-Threat-Intelligence` (wenn auf Defender for Endpoint aktiviert) emittiert Thread-Handle-Open-Events mit Ursprungs-Syscall — das sauberste Signal. Aus dem Userspace fängt das Hooken von `NtAlpcOpenSenderThread` in ntdll User-Mode-RPC-Server, verfehlt aber Kernel-Aufrufer; mit Kernel-Syscall-ETW kombinieren.

Direkte Syscall-Beispiele

// Server-side: get the sending thread, then read its UMS / dynamic-code policy.
#include <windows.h>
#include <winternl.h>

NTSTATUS NTAPI NtAlpcOpenSenderThread(
    PHANDLE, HANDLE, PPORT_MESSAGE, ULONG, ACCESS_MASK, POBJECT_ATTRIBUTES);

BOOL CallerThreadAllowsDynCode(HANDLE serverPort, PPORT_MESSAGE msg) {
    HANDLE hThr = NULL;
    if (NtAlpcOpenSenderThread(
            &hThr, serverPort, msg,
            0,
            THREAD_QUERY_LIMITED_INFORMATION,
            NULL) < 0) {
        return FALSE;
    }
    PROCESS_MITIGATION_DYNAMIC_CODE_POLICY pol = {0};
    BOOL ok = GetThreadInformation(hThr, ThreadDynamicCodePolicy, &pol, sizeof(pol));
    CloseHandle(hThr);
    return ok && !pol.ProhibitDynamicCode;
}

; Direct syscall stub for NtAlpcOpenSenderThread (SSN 0x8A on Win11 24H2 / Server 2025)
NtAlpcOpenSenderThread PROC
    mov  r10, rcx          ; ThreadHandle
    mov  eax, 8Ah          ; SSN
    syscall
    ret
NtAlpcOpenSenderThread ENDP

MITRE ATT&CK-Mappings

• T1068Exploitation for Privilege Escalationmitre ↗
• T1134Access Token Manipulationmitre ↗
• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗