NtAlpcDisconnectPort

Prototipo

NTSTATUS NtAlpcDisconnectPort(
  HANDLE  PortHandle,
  ULONG   Flags
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 86 00 00 00      mov eax, 0x86
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

`NtAlpcDisconnectPort` es el adiós cortés de una conexión ALPC — envía un mensaje `LPC_PORT_CLOSED` a la cola del servidor y desmonta el par de puertos de conexión. `NtClose` sobre el mismo handle *también* termina la conexión, pero sin la notificación in-band, dejando que el servidor descubra al cliente muerto sólo cuando intente responder la siguiente vez. La mayoría de los llamantes en modo usuario van directo a `NtClose`; `NtAlpcDisconnectPort` explícito lo usa sobre todo el runtime RPC (`rpcrt4.dll`) cuando un binding LRPC se cierra con `RpcBindingFree`. Las vistas ALPC por-conexión, contextos de seguridad y reservas de mensaje se liberan en el mismo paso.

Uso común por malware

Interés ofensivo bajo — es limpieza. El uso notable es la *limpieza post-exploit*: los PoC LPE ALPC que abusan del estado servidor llaman típicamente `NtAlpcDisconnectPort` (o cierran el handle) justo tras ganar la carrera para que la vista del servidor parezca normal y los crash dumps no mantengan el objeto puerto de conexión malicioso residente. El flag `ALPC_DISCONNECT_FLAG_NO_DISCONNECT_MESSAGE` puede usarse para privar deliberadamente al servidor de notificación `LPC_PORT_CLOSED` — útil si el servidor sólo limpia estado por-conexión al recibir ese mensaje; un fuzzer o PoC puede usarlo para filtrar estado servidor entre ejecuciones.

Oportunidades de detección

No es señal útil aislada. Las desconexiones dominan el tráfico ALPC en cualquier estación activa. El único ángulo útil es la *correlación*: un proceso cliente que emite una ráfaga de ciclos `NtAlpcConnectPort` … `NtAlpcSendWaitReceivePort` … `NtAlpcDisconnectPort` contra el mismo servidor en rápida sucesión es candidato a fuzzing ALPC o activación de exploit. El proveedor ETW `Microsoft-Windows-Kernel-ALPC` (si está activo) registra desconexiones; el tear-down RPC correspondiente aparece en `Microsoft-Windows-RPC`.

Ejemplos de syscalls directos

// Cleanly close an LRPC client port. The server receives an LPC_PORT_CLOSED message
// before the handle is freed, allowing prompt per-connection cleanup on its side.
#include <windows.h>
#include <winternl.h>

NTSTATUS NTAPI NtAlpcDisconnectPort(HANDLE, ULONG);

void CloseLrpcClient(HANDLE hPort) {
    NtAlpcDisconnectPort(hPort, 0); // 0 = send the courtesy LPC_PORT_CLOSED
    NtClose(hPort);                  // release the handle table entry
}

; Direct syscall stub for NtAlpcDisconnectPort (SSN 0x86 on Win11 24H2 / Server 2025)
NtAlpcDisconnectPort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 86h          ; SSN
    syscall
    ret
NtAlpcDisconnectPort ENDP

Mapeos MITRE ATT&CK

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗