NtReplyPort

Prototyp

NTSTATUS NtReplyPort(
  HANDLE         PortHandle,
  PPORT_MESSAGE  ReplyMessage
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 0C 00 00 00      mov eax, 0x0C
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtReplyPort komplettiert die Server-Hälfte eines synchronen LPC-Austauschs, den ein Client via NtRequestWaitReplyPort initiiert hat. Die passende `MessageId` in der Antwort erlaubt dem Kernel, die Antwort an den richtigen Caller zuzustellen. Ein Server ruft NtReplyPort normalerweise *nicht* direkt in einer Hot-Loop auf — er nutzt NtReplyWaitReceivePort, das atomar die vorherige Anfrage beantwortet und auf die nächste wartet. Die SSN `0x0C` ist über alle Windows-10/11-Builds eingefroren, ein Spiegel des Legacy-Status von LPC als niedrig nummerierter, von Microsoft praktisch unangetasteter Tabelleneintrag.

Häufige Malware-Nutzung

Malware-Nutzung speziell von NtReplyPort ist *sehr selten* und tritt fast immer zusammen mit einem benutzerdefinierten, via NtCreatePort registrierten LPC-Server auf. Nur historisches Interesse: Pre-Vista-User-Mode-Rootkits, die einen vorgetäuschten Kernel-Port exponierten, um Befehle von einer co-residenten Komponente zu empfangen, und dann via NtReplyPort antworteten. Moderner offensiver Code wählt für dieses Muster überwiegend ALPC oder Named Pipes.

Erkennungs­möglichkeiten

Kein dedizierter ETW-Provider für Legacy-LPC. Das stärkste Signal liegt vorgelagert: Jeder nicht von Microsoft signierte Prozess, der einen LPC-Server-Port hält (sichtbar via SystemInformer / WinObj oder einem Kernel-ObRegisterCallbacks-Filter für Typ `Port`) und NtReplyPort erreicht, ist auf Windows 10/11 hochauffällig. Korrelation des Caller-Thread-Stacks mit einem zuvor beobachteten NtCreatePort identifiziert den Server.

Direkte Syscall-Beispiele

; Direct syscall stub for NtReplyPort (SSN 0x0C, stable Win10 1507+)
NtReplyPort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 0Ch          ; SSN
    syscall
    ret
NtReplyPort ENDP

// Send a one-shot reply to an LPC request whose MessageId we've stashed.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtReplyPort)(HANDLE, PVOID /*PPORT_MESSAGE*/);

NTSTATUS LpcReply(HANDLE serverPort, void *replyMsg) {
    pNtReplyPort fn = (pNtReplyPort)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtReplyPort");
    return fn(serverPort, replyMsg);
}

MITRE ATT&CK-Mappings

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗