NtRevertContainerImpersonation

Prototyp

NTSTATUS NtRevertContainerImpersonation(VOID);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 8B 01 00 00      mov eax, 0x18B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtRevertContainerImpersonation macht eine vorherige container-seitige Impersonation des Host-Tokens innerhalb eines Server Silos rückgängig (auch Argon-Container genannt — die mit Windows 10 eingeführte Kernel-Primitive hinter Windows Server Containers und dem process-isolated-Modus von Docker auf Windows). Die Gegenoperation — der Eintritt in die Host-Impersonation — erfolgt implizit, wenn ein silo-awarer Dienst die Silo-Grenze überschreitet. Es gibt keinen öffentlichen Win32-Wrapper; die Call-Surface wird fast ausschließlich vom Host Compute Service (vmcompute.exe), hcsshim und einigen Container-Manager-Komponenten genutzt. Der Syscall nimmt keine Argumente und wirkt auf das Impersonation-Token des aufrufenden Threads.

Häufige Malware-Nutzung

Sehr geringes Malware-Signal. Der Syscall ist nur in einem Server Silo sinnvoll — ein enges Deployment. Es gab akademisches und Red-Team-Interesse an Container-Escapes gegen hcsshim und vmcompute (insbesondere Palo Alto Unit 42's 'Siloscape'-Bericht von 2021, der legitime Container-Management-APIs missbrauchte statt diesen Syscall direkt), aber keine bekannte Commodity-Malware-Familie ruft NtRevertContainerImpersonation in freier Wildbahn auf. Dokumentation lohnt zur Vollständigkeit der Silo-Angriffsfläche, nicht wegen IOC-Wert.

Erkennungs­möglichkeiten

Telemetrie ist dünn. Die ETW-Provider Microsoft-Windows-Containers-CCG und Microsoft-Windows-Hyper-V-Compute emittieren Silo-Lifecycle-Ereignisse, exponieren diesen Syscall aber nicht direkt. Aus Verteidigersicht lautet die sinnvolle Frage 'hat ein unerwarteter Prozess in einem Container seinen Silo-Impersonation-Status manipuliert?' — beantwortbar durch Korrelation der Container-ID (PsGetSiloMonitorContextSlot) mit Parent-Image und Kommandozeile via Defender for Containers oder Sysmon-ImageLoad-Events auf vmcompute/hcs*-DLLs. Der Kernel-ETW-Provider Microsoft-Windows-Kernel-Process zeigt Token-Impersonation-Übergänge, die nach silo-gebundenen Threads filterbar sind.

Direkte Syscall-Beispiele

; Direct syscall stub for NtRevertContainerImpersonation (SSN 0x18B, Win11 24H2)
NtRevertContainerImpersonation PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 18Bh         ; SSN
    syscall
    ret
NtRevertContainerImpersonation ENDP

// No Win32 wrapper exists; resolve from ntdll directly.
typedef NTSTATUS (NTAPI *PFN_NtRevertContainerImpersonation)(VOID);

HMODULE hNtdll = GetModuleHandleW(L"ntdll.dll");
PFN_NtRevertContainerImpersonation pNtRevert =
    (PFN_NtRevertContainerImpersonation)GetProcAddress(
        hNtdll, "NtRevertContainerImpersonation");

if (pNtRevert) {
    NTSTATUS s = pNtRevert();
    // STATUS_SUCCESS only when called from inside a Server Silo with
    // an active container-side host impersonation.
    if (!NT_SUCCESS(s)) {
        // STATUS_INVALID_PARAMETER outside a silo.
    }
}

MITRE ATT&CK-Mappings

• T1611Escape to Hostmitre ↗
• T1134Access Token Manipulationmitre ↗