NtWorkerFactoryWorkerReady

Prototyp

NTSTATUS NtWorkerFactoryWorkerReady(
  HANDLE  WorkerFactoryHandle
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 01 00 00 00      mov eax, 0x1
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Die stabilste Syscall-Nummer der gesamten Tabelle — `0x1` seit Windows 7. Sie wird ausschließlich von `ntdll!TppWorkerThread` (der kanonischen StartRoutine jeder Worker Factory) aufgerufen und teilt dem Kernel mit: „dieser Worker hat seinen letzten Dispatch beendet, dekrementiere meinen Pending-Zähler, ich gehe zurück in NtWaitForWorkViaWorkerFactory“. Die Buchführung erlaubt dem Kernel zu entscheiden, ob mehr Worker erzeugt, leerlaufende stillgelegt oder die Anzahl konstant gehalten werden soll.

Häufige Malware-Nutzung

Wird von Malware praktisch nie direkt aufgerufen — er ist Teil der internen Threadpool-Buchführung und ergibt nur im Kontext einer echten `TppWorkerThread`-Schleife Sinn. Ausnahme: PoolParty-Varianten, bei denen der Shellcode selbst den Worker-Handshake emuliert, um die Buchführung des Threadpools (und damit die Reaktionsfähigkeit des Elternprozesses) nach Übernahme eines Workers konsistent zu halten. Das Auslassen des Ready/Wait/Release-Zyklus lässt den `PendingWorkerCount` des Kernels driften und kann dadurch den Rest des Opfer-Threadpools aushungern — beobachtbar als hängende Anwendung.

Erkennungs­möglichkeiten

Isoliert praktisch nicht erkennbar — jeder Windows-Prozess mit CRT, .NET-Runtime oder COM-Apartment emittiert tausende pro Sekunde. Detektion wird nur möglich, wenn er *fehlt*: eine Worker Factory, deren Ready-Zähler nie steigt, während ihr Completion-Port entleert wird, weist darauf hin, dass etwas den Handshake umgeht (ein PoolParty-Shellcode, der die Schleife nicht emuliert hat, oder ein Debugger, der einen Worker hält). Eine Heuristik, kein Primärsignal.

Direkte Syscall-Beispiele

// Approximate reverse of the user-mode loop driven by NtCreateWorkerFactory.
// Do NOT call directly — this is what TppWorkerThread does on every worker.
VOID WINAPI TppWorkerThreadLike(PVOID context) {
    HANDLE hWf = ((PTHREADPOOL_INTERNAL)context)->WorkerFactoryHandle;
    for (;;) {
        FILE_IO_COMPLETION_INFORMATION info;
        NTSTATUS s = NtWaitForWorkViaWorkerFactory(hWf, &info);
        if (!NT_SUCCESS(s)) break;
        // Dispatch the callback that info.KeyContext encodes.
        DispatchCallback(&info);
        // Tell the kernel we're done and ready for the next item.
        NtWorkerFactoryWorkerReady(hWf);
    }
}

; Stable across every Windows 10/11 build.
NtWorkerFactoryWorkerReady PROC
    mov  r10, rcx
    mov  eax, 1
    syscall
    ret
NtWorkerFactoryWorkerReady ENDP

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗