NtInitiatePowerAction

Prototipo

NTSTATUS NtInitiatePowerAction(
  POWER_ACTION       SystemAction,
  SYSTEM_POWER_STATE MinSystemState,
  ULONG              Flags,
  BOOLEAN            Asynchronous
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 0A 01 00 00      mov eax, 0x10A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Punto de entrada de alto nivel para acciones de energía: `InitiatePowerActionW`, `SetSuspendState` (vía powrprof.dll), `ExitWindowsEx` (para variantes shutdown/reboot) y los fast-paths de Modern Standby rutean por aquí. A diferencia de `NtSetSystemPowerState`, esta función pasa por el **power policy manager**: difunde WM_POWERBROADCAST / PBT_APMQUERYSUSPEND a los procesos, honra `QUERY_ALLOWED` (las apps pueden rechazar) y solo entonces delega a `NtSetSystemPowerState` si la política lo permite. Requiere `SeShutdownPrivilege`. El parámetro `Asynchronous` es la perilla operativa crítica — async retorna inmediato y el llamador no puede detectar rechazo; sync bloquea hasta reanudación o veto de driver/app.

Uso común por malware

**El reboot post-cifrado de ransomware** es el abuso dominante. Royal, BlackCat/ALPHV, Conti, LockBit 3.0 y BlackSuit emiten un reboot de clase InitiatePowerAction tras escribir la nota de rescate — el objetivo es empujar a los usuarios hacia la pantalla de recuperación o Windows RE, lo que coloca la nota de rescate de forma fiable y previene un rollback rápido vía Volume Shadow Copies todavía en memoria. **Los wipers** (HermeticWiper, IsaacWiper, WhisperGate, CaddyWiper) disparan análogamente un ShutdownReset para hacer arrancar la máquina con datos de boot corruptos. Una clase más reducida de loaders red-team invoca PowerActionSleep con `DISABLE_WAKES | CRITICAL` para evadir sesiones de sandbox de corta duración. El requisito de privilegio (SeShutdownPrivilege) es trivial para malware en admin o LocalSystem, pero para código usuario poco privilegiado el check falla — la mayoría de ransomware lleva una primitiva de elevación previa.

Oportunidades de detección

El proveedor ETW Microsoft-Windows-Kernel-Power emite eventos estructurados para cada initiate-power-action: PID origen, acción, flags, éxito/fallo. Log de eventos: el log System registra Event ID 1074 para el proceso iniciador de cualquier shutdown/reboot iniciado por usuario (limpio), 6005/6006 para init de service pack, 6008 para shutdowns sucios. La regla conductual más accionable: un proceso que hizo >N escrituras/modificaciones de ficheros en los últimos 60 segundos y luego invoca una acción de energía de clase Shutdown/Reset — es un indicador ransomware casi perfecto. El ajuste de SeShutdownPrivilege desde un token no-interactivo es de por sí inusual y digno de alerta. Los EDR que hookean ntdll ven esta llamada directamente; las variantes con syscall directo evaden ntdll pero igual dejan la traza ETW.

Ejemplos de syscalls directos

; Direct syscall stub for NtInitiatePowerAction (SSN 0x10A on Win11 24H2)
NtInitiatePowerAction PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 10Ah         ; SSN — varies per build
    syscall
    ret
NtInitiatePowerAction ENDP

// Final step after the encryption pass and ransom-note drop.
// PowerActionShutdownReset = 6 (reboot), PowerSystemShutdown = 6.
// Flags = POWER_ACTION_DISABLE_WAKES | POWER_ACTION_CRITICAL
//          | POWER_ACTION_OVERRIDE_APPS  bypass app refusal.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtInitiatePowerAction)(ULONG, ULONG, ULONG, BOOLEAN);

VOID PostEncryptReboot(VOID) {
    pNtInitiatePowerAction NtInitiatePowerAction = (pNtInitiatePowerAction)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtInitiatePowerAction");
    // SeShutdownPrivilege assumed already enabled
    NtInitiatePowerAction(
        /* SystemAction   */ 6,
        /* MinSystemState */ 6,
        /* Flags          */ 0xC0010000, // CRITICAL | DISABLE_WAKES | OVERRIDE_APPS
        /* Asynchronous   */ FALSE);
}

// Cargo: windows-sys = "0.59"
// Try to put the analysis VM into S3 sleep before the loader's real work runs.
// Async + DISABLE_WAKES prevents most sandbox harnesses from resuming it cleanly.
use windows_sys::Win32::Security::*;
use windows_sys::Win32::System::Threading::*;
use windows_sys::Win32::Foundation::*;

extern "system" {
    fn NtInitiatePowerAction(action: u32, min_state: u32, flags: u32, asynch: u8) -> i32;
}

pub unsafe fn evade_via_sleep() -> i32 {
    let mut tok: HANDLE = std::mem::zeroed();
    OpenProcessToken(GetCurrentProcess(),
        TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &mut tok);
    // (omitted: LookupPrivilegeValueW + AdjustTokenPrivileges for SeShutdownPrivilege)
    // PowerActionSleep = 2, PowerSystemSleeping3 = 5
    NtInitiatePowerAction(2, 5, 0x40000000 /* DISABLE_WAKES */, 1)
}

Mapeos MITRE ATT&CK

• T1529System Shutdown/Rebootmitre ↗
• T1485Data Destructionmitre ↗
• T1497Virtualization/Sandbox Evasionmitre ↗