NtAlpcQueryInformation

Prototipo

NTSTATUS NtAlpcQueryInformation(
  HANDLE                       PortHandle,
  ALPC_PORT_INFORMATION_CLASS  PortInformationClass,
  PVOID                        PortInformation,
  ULONG                        Length,
  PULONG                       ReturnLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 8B 00 00 00      mov eax, 0x8B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

La contraparte introspectiva de `NtAlpcSetInformation`. Las clases más usadas son `AlpcBasicInformation` (flags, atributos, contadores de referencia), `AlpcServerInformation` (resuelve un handle de puerto al proceso *servidor* — dado un puerto cliente, devuelve el PID que hospeda el puerto de conexión) y `AlpcConnectedSIDInformation` (devuelve el SID del otro extremo). La clase `AlpcServerInformation` es peculiar: acepta un `ProcessId` de entrada y devuelve info del puerto servidor — históricamente un truco de fingerprinting / enumeración. No hay wrapper Win32 público; SystemInformer y ProcessHacker la invocan directamente para poblar sus listas de puertos ALPC.

Uso común por malware

Usado por herramientas de reconocimiento ALPC-aware: dado un endpoint `ncalrpc`, `AlpcServerInformation` lo resuelve al PID anfitrión — útil para verificar que se habla con (p. ej.) `services.exe` y no con un endpoint falso, o al revés para identificar qué proceso es dueño de un puerto LRPC de alto valor antes de lanzar una LPE. Comprobaciones anti-sandbox enumeran ocasionalmente puertos ALPC para detectar endpoints de agentes Cuckoo / Joe Sandbox (versiones antiguas exponían nombres LRPC identificables). Por lo demás, syscall de consulta pasivo con mínima señal de abuso directo.

Oportunidades de detección

Bajo valor como detección primaria. La introspección ALPC la hacen la mitad de las herramientas de diagnóstico que vienen con Windows (`tasklist /svc`, `wmic`, los nuevos cmdlets PowerShell `Get-Process`, la suite `sysinternals`). El proveedor ETW `Microsoft-Windows-Kernel-ALPC` emite eventos de query pero son extraordinariamente ruidosos. La jugada blue-team es ignorar este syscall y alertar sobre lo que sigue: un `NtAlpcConnectPort` desde un binario no-sistema a un puerto LRPC de alto valor cuyo propietario acaba de ser consultado.

Ejemplos de syscalls directos

; Direct syscall stub for NtAlpcQueryInformation (SSN 0x8B on Win11 24H2)
NtAlpcQueryInformation PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 8Bh          ; SSN — drifts per build
    syscall
    ret
NtAlpcQueryInformation ENDP

// AlpcServerInformation (class 4) accepts a ProcessId in the IN side of the
// ALPC_SERVER_INFORMATION struct and returns the server-port name & flags.
#include <windows.h>
#include <winternl.h>

typedef enum _ALPC_PORT_INFORMATION_CLASS {
    AlpcBasicInformation = 0,
    AlpcServerInformation = 4,
    AlpcConnectedSIDInformation = 3,
} ALPC_PORT_INFORMATION_CLASS;

typedef struct _ALPC_SERVER_INFORMATION_IN {
    HANDLE ProcessId;
} ALPC_SERVER_INFORMATION_IN;

typedef struct _ALPC_SERVER_INFORMATION_OUT {
    BOOLEAN ThreadBlocked;
    HANDLE  ConnectedProcessId;
    UNICODE_STRING ConnectionPortName;
} ALPC_SERVER_INFORMATION_OUT;

typedef union _ALPC_SERVER_INFORMATION {
    ALPC_SERVER_INFORMATION_IN  In;
    ALPC_SERVER_INFORMATION_OUT Out;
} ALPC_SERVER_INFORMATION;

typedef NTSTATUS (NTAPI *pNtAlpcQueryInformation)(
    HANDLE, ALPC_PORT_INFORMATION_CLASS, PVOID, ULONG, PULONG);

NTSTATUS WhoOwnsPort(HANDLE hClientPort, ALPC_SERVER_INFORMATION_OUT *out) {
    ALPC_SERVER_INFORMATION info = {0};
    ULONG ret = 0;
    pNtAlpcQueryInformation fn = (pNtAlpcQueryInformation)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtAlpcQueryInformation");
    NTSTATUS st = fn(hClientPort, AlpcServerInformation,
                     &info, sizeof(info), &ret);
    if (NT_SUCCESS(st)) *out = info.Out;
    return st;
}

Mapeos MITRE ATT&CK

• T1057Process Discoverymitre ↗
• T1106Native APImitre ↗