NtRemoveIoCompletionEx

Prototyp

NTSTATUS NtRemoveIoCompletionEx(
  HANDLE                IoCompletionHandle,
  PFILE_IO_COMPLETION_INFORMATION IoCompletionInformation,
  ULONG                 Count,
  PULONG                NumEntriesRemoved,
  PLARGE_INTEGER        Timeout,
  BOOLEAN               Alertable
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 7F 01 00 00      mov eax, 0x17F
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Batch-Cousin von `NtRemoveIoCompletion`. Wo der Legacy-Syscall maximal ein Completion-Paket pro Aufruf liefert, gibt `NtRemoveIoCompletionEx` bis zu `Count` Pakete in einem Roundtrip zurück — ein deutlicher Effizienzgewinn für High-Throughput-Server (IIS, SQL Server, der I/O-Completion-Thread des .NET-ThreadPools, jeder Win32-ThreadPool mit `WT_EXECUTEINIOTHREAD`). Der Win32-Wrapper ist `GetQueuedCompletionStatusEx`. Liefert STATUS_TIMEOUT, wenn Timeout ohne Paket abläuft, STATUS_USER_APC bei Alertable und ausgelöster APC, STATUS_ABANDONED_WAIT_0, wenn das IoCompletion-Objekt während des Waits geschlossen wird. Verfügbar seit Windows Vista — die API ist seitdem voll stabil, nur die SSN hat sich bewegt.

Häufige Malware-Nutzung

**Schwaches Malware-Signal**. Dieser Syscall ist überwältigend eine High-Perf-Server-/Runtime-Primitive — der .NET-ThreadPool, der I/O-Worker des Win32-ThreadPools und jedes Windows-Server-Produkt rufen ihn ständig. Die wenigen Malware-Erwähnungen in der Literatur betreffen hochnebenläufigen C2-*Server-Code* (Panels und Bots, die selbst als Server agieren), nicht Implants. Eine kleine Zahl netzwerk-intensiver Implants (manche Cobalt-Strike-External-C2-Bridges, bestimmte Sliver-Custom-Transports, die auf IO-Completion-Ports aufbauen) nutzen ihn, weil sie ein Server-artiges Threading-Modell wiederverwenden — und dort sieht es in der Telemetrie schlicht identisch zu legitimem WCF-/ASP.NET-Core-Traffic aus. Als offensive Primitive bringt es null Stealth gegenüber dem darunterliegenden ReadFile / WSARecv, das es batcht.

Erkennungs­möglichkeiten

Praktisch kein nutzbares Detection-Signal — `NtRemoveIoCompletionEx` ist einer der volumenstärksten Syscalls auf jedem Windows-Server und ein konstantes Hintergrundrauschen auf Workstations (jeder Browser-Tab, jeder Cloud-Storage-Agent, jeder IDE-Language-Server). Es gibt keinen Per-Call-Telemetrie-Pivot, der bösartig von gutartig sinnvoll trennt. Verteidiger sollten sich auf die *Nachbarn* des IO-Completion-Ports konzentrieren: welche Handles dorthin queued werden (Sockets zu verdächtigen Endpunkten, File-Handles in sensible Pfade) und das Threading-Muster des Konsumenten (ein Worker, der Completion-Port-Reads gefolgt unmittelbar von NtCreateThreadEx in einen Remote-Prozess macht, ist die einzige schwache Red-Flag, die sich modellieren lässt). EDRs hooken diesen Syscall wegen des Volumens typischerweise nicht — Direct-Syscall-Varianten gewinnen nichts.

Direkte Syscall-Beispiele

; Direct syscall stub for NtRemoveIoCompletionEx (SSN 0x17F on Win11 24H2)
NtRemoveIoCompletionEx PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 17Fh         ; SSN — varies per build
    syscall
    ret
NtRemoveIoCompletionEx ENDP

// Standard server-thread loop: pull up to 16 packets per syscall.
// This is what nearly every IOCP-based service does.
#include <windows.h>

VOID IocpWorker(HANDLE hPort) {
    OVERLAPPED_ENTRY entries[16];
    ULONG got = 0;
    while (GetQueuedCompletionStatusEx(hPort, entries, 16, &got, INFINITE, FALSE)) {
        for (ULONG i = 0; i < got; ++i) {
            DispatchCompletion(&entries[i]);
        }
    }
}

// Cargo: windows-sys = "0.59"
// Minimal wrapper around the Ex syscall — used by a custom server runtime.
use std::ptr::null_mut;

#[repr(C)]
pub struct IoCompletionInfo {
    pub key_context: usize,
    pub apc_context: usize,
    pub io_status:   [usize; 2], // status + information
}

extern "system" {
    fn NtRemoveIoCompletionEx(h: isize, info: *mut IoCompletionInfo,
        count: u32, removed: *mut u32, timeout: *mut i64, alertable: u8) -> i32;
}

pub unsafe fn drain(h: isize, batch: &mut [IoCompletionInfo]) -> u32 {
    let mut n: u32 = 0;
    NtRemoveIoCompletionEx(h, batch.as_mut_ptr(), batch.len() as u32,
                           &mut n, null_mut(), 0);
    n
}

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗