NtRaiseHardError

Prototyp

NTSTATUS NtRaiseHardError(
  NTSTATUS                 ErrorStatus,
  ULONG                    NumberOfParameters,
  ULONG                    UnicodeStringParameterMask,
  PULONG_PTR               Parameters,
  HARDERROR_RESPONSE_OPTION ResponseOption,
  PHARDERROR_RESPONSE      Response
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 75 01 00 00      mov eax, 0x175
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtRaiseHardError hat je nach Parameterkombination zwei völlig unterschiedliche Persönlichkeiten. Der gutartige Pfad postet eine Hard-Error-LPC-Nachricht an CSRSS, das den vertrauten „Ein an das System angeschlossenes Gerät funktioniert nicht“-Dialog malt. Der berühmte BSOD-Pfad: einen beliebigen STATUS_SEVERITY_FATAL-Status übergeben (oberste zwei Bits = 11), ResponseOption = OptionShutdownSystem (6) und SeShutdownPrivilege aktiviert halten — der Kernel springt direkt in ExpRaiseHardError → KeBugCheckEx mit Bugcheck-Code 0xF4 (CRITICAL_OBJECT_TERMINATION) oder 0xC1 (SPECIAL_POOL_DETECTED_MEMORY_CORRUPTION) je nach Status. Wininit.exe und Csrss.exe nutzen denselben Aufruf legitim, um das System bei Tod eines kritischen Prozesses herunterzufahren; Malware setzt sich auf dieselbe Maschinerie.

Häufige Malware-Nutzung

Die Lehrbuch-Primitive zum „Maschine aus dem User-Mode crashen“. Ransomware nutzt NtRaiseHardError als Stufe-3-Anti-Forensik: nach abgeschlossener Verschlüsselung und Löschen der Schattenkopien einen BSOD erzwingen, um Memory-Forensik, EDR-Live-Response-Sitzungen oder Wiederherstellungsversuche zu unterbrechen. Manche destruktiven Wiper (HermeticWiper, CaddyWiper) rufen es als letzte Aktion, sodass der nächste Boot in WinRE landet, ohne nutzbares User-Volume. Defense-Evasion-Familien verwenden die Nicht-FATAL-Form auch, um in Social-Engineering-Ketten überzeugende „Kritisches Update“-Dialoge zu erzeugen. Die Privilege-Hürde ist mild — jeder Prozess als Administrator mit standardmäßig aktiviertem SeShutdownPrivilege kann den Host per BSOD zerlegen.

Erkennungs­möglichkeiten

Audit-Policy-Bit „Prozesserstellung“ für wininit.exe und csrss.exe setzen und zusätzlich Microsoft-Windows-Threat-Intelligence-ETW verwenden (EtwTiLogRaiseHardError, wo exponiert). Auf dem überlebbaren Pfad protokolliert das Application-Eventlog Hard Errors als Event ID 1023 (DrWatson), und der System-Kanal protokolliert BugCheck (Event ID 1001) beim Reboot nach einem Hard-Error-induzierten Bugcheck. Die nützlichste Prävention ist, SeShutdownPrivilege aus nicht-privilegierten Service-Konten zu entfernen — die meisten brauchen es nicht, und der Entzug neutralisiert die Userland-BSOD-Bedrohung vollständig.

Direkte Syscall-Beispiele

// Requires SeShutdownPrivilege enabled in the token.
// Result: instant 0xF4 CRITICAL_OBJECT_TERMINATION bugcheck.
BOOLEAN wasEnabled;
RtlAdjustPrivilege(SE_SHUTDOWN_PRIVILEGE, TRUE, FALSE, &wasEnabled);

ULONG response;
NtRaiseHardError(
    STATUS_ASSERTION_FAILURE,    // 0xC0000420 - severity FATAL
    0, 0, NULL,
    OptionShutdownSystem,        // 6 -> kernel routes to KeBugCheckEx
    &response);
// Never returns.

// Non-FATAL severity -> CSRSS displays a hard-error dialog with template text.
UNICODE_STRING msg;
RtlInitUnicodeString(&msg, L"Critical Windows component compromised. Restart now.");
ULONG_PTR params[1] = { (ULONG_PTR)&msg };
ULONG response;
NtRaiseHardError(
    STATUS_FATAL_APP_EXIT,
    1,
    1,                   // bit 0 = first param is a UNICODE_STRING*
    params,
    OptionOk,
    &response);

NtRaiseHardError PROC
    mov  r10, rcx
    mov  eax, 175h         ; Win11 24H2 SSN
    syscall
    ret
NtRaiseHardError ENDP

MITRE ATT&CK-Mappings

• T1485Data Destructionmitre ↗
• T1529System Shutdown/Rebootmitre ↗
• T1106Native APImitre ↗