NtAlpcImpersonateClientOfPort

Prototipo

NTSTATUS NtAlpcImpersonateClientOfPort(
  HANDLE                    PortHandle,
  PPORT_MESSAGE             Message,
  PALPC_IMPERSONATE_INFO    Flags
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 88 00 00 00      mov eax, 0x88
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

`NtAlpcImpersonateClientOfPort` es el análogo ALPC de `ImpersonateNamedPipeClient`: el hilo servidor que acaba de recibir un mensaje asume temporalmente el token primario del cliente, realiza una operación privilegiada por cuenta de él y luego llama a `RevertToSelf`. El nivel de impersonación está acotado por el `SECURITY_QUALITY_OF_SERVICE.ImpersonationLevel` del cliente al hacer connect, pero un servidor que pide *Impersonate* sin override QoS del cliente es el predeterminado para casi todos los servicios de Windows. Toda llamada Win32 / RPC `RpcImpersonateClient` sobre un binding `ncalrpc` termina aquí. Implementación: `AlpcpImpersonateClient` en `ntoskrnl.exe`, que llama a `SeImpersonateClientEx`.

Uso común por malware

**Es el syscall ALPC de mayor valor para escalada de privilegios** — pero, crucialmente, el bug está casi siempre en el *llamante*, no en el syscall mismo. El patrón: un servicio que corre como SYSTEM expone un endpoint ALPC, acepta conexión de un cliente sin privilegios, lo impersona para hacer un access check («¿este usuario puede borrar este archivo?»), y luego **olvida revertir** antes de la acción privilegiada — o hace el check sobre un objeto distinto del que actúa (TOCTOU). CVE-2018-8440 (LPE Task Scheduler ALPC de SandboxEscaper), CVE-2019-1130 (impersonación UMPS), CVE-2020-0668 (LPE Windows Service Tracing) y varias variantes PrintNightmare de Print Spooler dependen todas de este tipo de abuso de impersonación. El malware no suele *invocar* este syscall — envía el mensaje ALPC adecuado en el momento adecuado para engañar a un servicio SYSTEM que sí lo hace.

Oportunidades de detección

Lado *llamante*: el syscall lo invoca prácticamente cada servidor RPC de Windows en cada mensaje — inútil como señal primaria. Lado *exploit*: enfocarse en las consecuencias. Sysmon Event ID 1 (Process Create) con `ParentImage=services.exe` / `spoolsv.exe` / `taskschd.exe`, `User=SYSTEM` pero un token cuyo `IntegrityLevel` no encaja con lo esperado es señal fuerte. Ráfagas ETW `Microsoft-Windows-Security-Auditing` Event ID 4624 (logon) tipo 9 (NewCredentials) desde un service host son sospechosas. Las mitigaciones a nivel kernel (familia `ImpersonateCheck` de Microsoft, `RpcServerRegisterAuthInfoExW` con SIDs restringidos) reducen la exposición más fiablemente que las reglas de detección.

Ejemplos de syscalls directos

; Direct syscall stub for NtAlpcImpersonateClientOfPort (SSN 0x88 on Win11 24H2)
NtAlpcImpersonateClientOfPort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 88h          ; SSN — drifts per build
    syscall
    ret
NtAlpcImpersonateClientOfPort ENDP

// The bug class lives in callers that forget RevertToSelf, or that
// perform the privileged work on a different object than the one checked.
#include <windows.h>
#include <winternl.h>

typedef struct _ALPC_IMPERSONATE_INFO {
    SECURITY_IMPERSONATION_LEVEL ImpersonationLevel;
    ULONG Flags;
    ULONG RequiredImpersonationLevel;
} ALPC_IMPERSONATE_INFO, *PALPC_IMPERSONATE_INFO;

typedef NTSTATUS (NTAPI *pNtAlpcImpersonateClientOfPort)(
    HANDLE, PPORT_MESSAGE, PALPC_IMPERSONATE_INFO);

NTSTATUS DoAsClient(HANDLE hCommPort, PPORT_MESSAGE pMsg,
                    NTSTATUS (*work)(void)) {
    pNtAlpcImpersonateClientOfPort imp = (pNtAlpcImpersonateClientOfPort)
        GetProcAddress(GetModuleHandleA("ntdll.dll"),
                       "NtAlpcImpersonateClientOfPort");
    NTSTATUS st = imp(hCommPort, pMsg, NULL /* default QoS */);
    if (!NT_SUCCESS(st)) return st;
    st = work();              // ALL privileged work happens here
    RevertToSelf();           // NEVER skip — exploit class is forgetting this
    return st;
}

// Real ALPC LPE chains (CVE-2018-8440, CVE-2020-0668, PrintNightmare variants)
// trick a privileged service into calling NtAlpcImpersonateClientOfPort against
// an attacker-controlled message, then performing FS / registry I/O AFTER the
// impersonation has either been reverted or never applied to the right object.
// The syscall itself behaves correctly — the vulnerability lives in the service.
// This file documents the syscall only; PoCs belong with the CVE references.

Mapeos MITRE ATT&CK

• T1068Exploitation for Privilege Escalationmitre ↗
• T1134.001Access Token Manipulation: Token Impersonation/Theftmitre ↗
• T1106Native APImitre ↗