NtCancelWaitCompletionPacket

Prototipo

NTSTATUS NtCancelWaitCompletionPacket(
  HANDLE  WaitCompletionPacketHandle,
  BOOLEAN RemoveSignaledPacket
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 97 00 00 00      mov eax, 0x97      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Se empareja con `NtAssociateWaitCompletionPacket`. El subsistema de espera del threadpool crea internamente un `WAIT_COMPLETION_PACKET` (un objeto kernel que enlaza un dispatcher object — event, semáforo, mutant, timer — y un IOCP en el que se posteará una entrada de completion cuando el dispatcher señale). `NtCancelWaitCompletionPacket` desenlaza el paquete para que pueda reasociarse a un dispatcher diferente (la razón típica por la que ntdll lo invoca: un `TpSetWait` reutiliza un paquete existente sobre el objeto wait del threadpool). El flag `RemoveSignaledPacket` maneja la carrera donde el paquete disparó entre el último sondeo de completion del llamador y la cancelación — TRUE consume la entrada huérfana para que no salga inesperadamente de `GetQueuedCompletionStatus`.

Uso común por malware

Casi siempre emparejado con `NtAssociateWaitCompletionPacket` en uso ofensivo. En la **variante "Worker Factory via Wait Completion" de PoolParty** el paso de limpieza usa `NtCancelWaitCompletionPacket` para desacoplar el paquete falsificado tras inducir al worker del threadpool a despachar shellcode — dejando la infraestructura de espera limpiamente reseteada para que el proceso objetivo no crashee en el siguiente `TpSetWait` legítimo. El uso aislado es raro ofensivamente: la cancelación por sí sola no confiere capacidad. Sin embargo, a veces aparece como artefacto forense en capturas de memoria de procesos inyectados — un `EPROCESS` cuya tabla de handles contiene un objeto `WaitCompletionPacket` que el proceso nunca creó es un fuerte indicador de inyección.

Oportunidades de detección

Bajo señal aislada — las rutas `TpWaitForWait`/`TpSetWait` de ntdll emiten estas llamadas constantemente en cualquier programa no trivial. El valor de detección reside en patrones *cross-process*: un handle de tipo `WaitCompletionPacket` apareciendo en la tabla de handles de otro proceso (Sysmon Event 10 / dumps de tabla de handles kernel vía `!handle` en WinDbg) es anómalo porque estos objetos son normalmente process-local. Los EDRs que vigilan estructuras de datos del threadpool (`_TP_TIMER`, `_TP_WAIT`) en busca de direcciones de callback foráneas elevarán el patrón PoolParty más amplio.

Ejemplos de syscalls directos

// Reuse an existing wait packet on a different event.
NtCancelWaitCompletionPacket(hPacket, TRUE /* eat orphan completion */);
NtAssociateWaitCompletionPacket(
    hPacket,
    hIoCompletion,
    hNewEvent,                      // new dispatcher
    (PVOID)keyContext, (PVOID)apc,
    STATUS_SUCCESS, 0, NULL);

; NtCancelWaitCompletionPacket direct syscall (Win11 24H2 SSN 0x97)
NtCancelWaitCompletionPacket PROC
    mov  r10, rcx
    mov  eax, 97h
    syscall
    ret
NtCancelWaitCompletionPacket ENDP

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗