NtQueryInformationWorkerFactory

Prototyp

NTSTATUS NtQueryInformationWorkerFactory(
  HANDLE                     WorkerFactoryHandle,
  WORKERFACTORYINFOCLASS     WorkerFactoryInformationClass,
  PVOID                      WorkerFactoryInformation,
  ULONG                      WorkerFactoryInformationLength,
  PULONG                     ReturnLength
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 5B 01 00 00      mov eax, 0x15B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Die symmetrische Lese-Seite zu NtSetInformationWorkerFactory. `WorkerFactoryBasicInformation` liefert eine `WORKER_FACTORY_BASIC_INFORMATION` (siehe ntexapi.h / phnt) inkl. der aktuellen `StartRoutine`, `StartParameter`, `ProcessId`, Thread-Zahlen, Timeouts und Binding Count. Die Struktur ist einer der wenigen dokumentierten Wege, programmatisch zu beobachten, wofür eine Threadpool-Worker-Factory aktuell konfiguriert ist — nützlich für Diagnostik (taskmgr, PerfView) ebenso wie für offensive Aufklärung eines bereits ins Visier genommenen Prozesses.

Häufige Malware-Nutzung

Wird von PoolParty-StartRoutine-Overwrite-Varianten als Leseschritt vor dem Zurückschreiben einer mutierten Struktur via NtSetInformationWorkerFactory genutzt. Außerdem von Toolkits, die Worker Factories in einem Opfer aufzählen — sobald ein Handle (via NtDuplicateObject) dupliziert wurde, sagt die Abfrage dem Angreifer, welcher Threadpool am beschäftigsten ist, in welchem Zielprozess er liegt und welche StartRoutine er aktuell dispatcht. Auch umgekehrt zur EDR-Identifikation nutzbar: ein Angreifer kann die Worker Factories seines *eigenen* Prozesses abfragen, um zu sehen, ob eine Drittanbieter-DLL die StartRoutine gehookt oder ersetzt hat.

Erkennungs­möglichkeiten

Query-Operationen sind nur-lesend und im normalen Threadpool-Betrieb allgegenwärtig — dieser Syscall allein ist kein nützliches Signal. Bedeutsam wird er gepaart mit einem darauffolgenden NtSetInformationWorkerFactory auf demselben Handle (das klassische Read-Modify-Write-Muster) oder bei prozessübergreifender Ausführung. Kernel-Callbacks am WorkerFactory-Objekttyp können Query/Set-Paare korrelieren; User-Mode-Telemetrie ist im Wesentlichen unerreichbar, weil EDR-Hooks auf der Query-Seite routinemäßig durch direkte Syscalls umgangen werden.

Direkte Syscall-Beispiele

WORKER_FACTORY_BASIC_INFORMATION info;
ULONG ret = 0;
NTSTATUS s = NtQueryInformationWorkerFactory(
    hWf, WorkerFactoryBasicInformation,
    &info, sizeof(info), &ret);
if (NT_SUCCESS(s)) {
    printf("StartRoutine = %p in PID %llu, %u workers (%u waiting)\n",
           info.StartRoutine, (uint64_t)info.ProcessId,
           info.TotalWorkerCount, info.WaitingWorkerCount);
}

// hWfRemote was opened in our process via NtDuplicateObject(target, source, ours, ...)
// and now points to the *victim's* worker factory.
use ntapi::ntexapi::{NtQueryInformationWorkerFactory, WORKER_FACTORY_BASIC_INFORMATION};
let mut info: WORKER_FACTORY_BASIC_INFORMATION = unsafe { core::mem::zeroed() };
let mut ret: u32 = 0;
let status = unsafe {
    NtQueryInformationWorkerFactory(
        h_wf_remote,
        0, // WorkerFactoryBasicInformation
        &mut info as *mut _ as *mut _,
        core::mem::size_of_val(&info) as u32,
        &mut ret,
    )
};
assert_eq!(status, 0);
println!("victim StartRoutine: {:p}", info.StartRoutine);

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗