NtAlpcRevokeSecurityContext

Prototipo

NTSTATUS NtAlpcRevokeSecurityContext(
  HANDLE       PortHandle,
  ULONG        Flags,
  ALPC_HANDLE  ContextHandle
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 8D 00 00 00      mov eax, 0x8D
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

`NtAlpcRevokeSecurityContext` es el **deshabilitado suave** frente al **destructor** `NtAlpcDeleteSecurityContext`. Cambia una bandera en la entrada de contexto para que cualquier `NtAlpcImpersonateClientOfPort` posterior que la referencie falle con `STATUS_ALPC_HANDLE_REVOKED`, pero la entrada permanece válida hasta la eliminación natural. Dos motivos para que un servidor prefiera revocar a eliminar: (1) el mismo handle aún está referenciado por `PORT_MESSAGE`s en vuelo y una eliminación provocaría una carrera; (2) el servidor desea registrar qué mensajes intentaron usar el token ahora inválido. El kernel pone `AlpcSecurityContext->Revoked` y deja que el ref-count baje a cero naturalmente; ese momento libera la referencia subyacente al token.

Uso común por malware

Casi sin interés ofensivo — es *menos* potente que `NtAlpcDeleteSecurityContext` (sin riesgo UAF, sin liberación inmediata). Un operador red-team que ha comprometido un servidor ALPC privilegiado podría revocar un contexto existente para **negar el servicio** a un cliente concreto (un agente EDR ruidoso, por ejemplo) sin tirar toda la conexión — degradación quirúrgica en lugar de tear-down. Por lo demás, el syscall sólo se invoca como parte del cleanup normal del servidor RPC.

Oportunidades de detección

Funcionalmente invisible para los defensores — la revocación no tiene efecto externo observable salvo que una impersonación posterior fallará con `STATUS_ALPC_HANDLE_REVOKED`, lo cual es normal en shutdown. Tratar anomalías igual que para `NtAlpcDeleteSecurityContext`: mirar el **patrón** (ciclos frecuentes revoke-luego-create sobre el mismo puerto sugieren un fuzzer o un probador TOCTOU), no el syscall en sí. El proveedor ETW Microsoft-Windows-Kernel-ALPC registra la llamada cuando está activo.

Ejemplos de syscalls directos

// Mark a cached client context as revoked without disturbing in-flight messages.
// Later, NtAlpcDeleteSecurityContext finishes the job when the ref-count is zero.
#include <windows.h>
#include <winternl.h>

typedef PVOID ALPC_HANDLE;
NTSTATUS NTAPI NtAlpcRevokeSecurityContext(HANDLE, ULONG, ALPC_HANDLE);

void SoftRevoke(HANDLE serverPort, ALPC_HANDLE ctx) {
    // After this call, NtAlpcImpersonateClientOfPort referencing ctx returns
    // STATUS_ALPC_HANDLE_REVOKED instead of impersonating.
    NtAlpcRevokeSecurityContext(serverPort, 0, ctx);
}

; Direct syscall stub for NtAlpcRevokeSecurityContext (SSN 0x8D on Win11 24H2 / Server 2025)
NtAlpcRevokeSecurityContext PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 8Dh          ; SSN
    syscall
    ret
NtAlpcRevokeSecurityContext ENDP

Mapeos MITRE ATT&CK

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗