NtShutdownWorkerFactory

Prototyp

NTSTATUS NtShutdownWorkerFactory(
  HANDLE  WorkerFactoryHandle,
  LONG   *PendingWorkerCount
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 C7 01 00 00      mov eax, 0x1C7
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Das Setzen des Shutdown-Flags auf einer Worker Factory verhindert, dass der Kernel weitere Worker-Threads erzeugt, lässt aber bestehende natürlich auslaufen. Die zurückgegebene `PendingWorkerCount` erlaubt es dem Aufrufer, auf vollständige Stille zu pollen, bevor der zugrundeliegende I/O-Completion-Port geschlossen wird. `ntdll!TppWorkerFactoryShutdown` und `RtlpThreadpoolWorkerFactoryShutdown` rufen dies auf; User-Code tut dies selten direkt außerhalb des CRT-Teardowns oder LdrShutdownProcess.

Häufige Malware-Nutzung

Nach erfolgreicher PoolParty-Ausführung und Abschluss des Shellcodes ruft der Implant oft NtShutdownWorkerFactory auf, um den fremden Threadpool sauber abzubauen — mit weniger Artefakten als ein hartes `NtTerminateThread`. Derselbe Syscall lässt sich auch defensiv vom Angreifer einsetzen: mit `WORKER_FACTORY_SHUTDOWN`-Rechten am Threadpool eines Opfers kann ein Angreifer dessen asynchrone Pipelines (HTTP-Worker-Pool, .NET-ThreadPool, RPC-Dispatcher) lähmen, ohne den Prozess zu crashen — ein leiser Denial-of-Service. Öffentliche PoolParty-PoCs beinhalten das Shutdown als Cleanup-Schritt.

Erkennungs­möglichkeiten

Isolierte NtShutdownWorkerFactory-Aufrufe sind im normalen Teardown laut — jeder Prozess-Exit emittiert einige — daher ist die prozessübergreifende Invokation das aussagekräftige Signal. Korrelieren Sie es mit dem vorgelagerten NtCreateWorkerFactory-Event: ein Prozess, der eine Worker Factory in einem anderen Prozess erzeugt und sie kurz darauf abschaltet, ist hochverdächtig. Der Kernel-Object-Manager protokolliert offene Handles auf das WorkerFactory; ObRegisterCallbacks kann Handle-Duplikationen über Prozessgrenzen abfangen.

Direkte Syscall-Beispiele

// Called by the loader after the shellcode signals 'done'.
LONG pending = 0;
NTSTATUS s = NtShutdownWorkerFactory(hWorkerFactory, &pending);
while (NT_SUCCESS(s) && pending > 0) {
    // Workers still draining — sleep, then re-query.
    Sleep(50);
    NtQueryInformationWorkerFactory(hWorkerFactory,
        WorkerFactoryBasicInformation,
        &basic, sizeof(basic), NULL);
    pending = basic.TotalWorkerCount;
}
NtClose(hWorkerFactory);
NtClose(hIoCompletion);

NtShutdownWorkerFactory PROC
    mov  r10, rcx
    mov  eax, 1C7h     ; Win11 24H2 / Server 2025
    syscall
    ret
NtShutdownWorkerFactory ENDP

MITRE ATT&CK-Mappings

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗