NtRaiseHardError

Prototipo

NTSTATUS NtRaiseHardError(
  NTSTATUS                 ErrorStatus,
  ULONG                    NumberOfParameters,
  ULONG                    UnicodeStringParameterMask,
  PULONG_PTR               Parameters,
  HARDERROR_RESPONSE_OPTION ResponseOption,
  PHARDERROR_RESPONSE      Response
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 75 01 00 00      mov eax, 0x175
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtRaiseHardError tiene dos personalidades completamente distintas según las combinaciones de parámetros. La vía benigna envía un mensaje LPC de hard-error a CSRSS, que pinta el familiar diálogo 'Un dispositivo conectado al sistema no funciona'. La famosa vía BSOD: pasar cualquier status STATUS_SEVERITY_FATAL (dos bits altos = 11), ResponseOption = OptionShutdownSystem (6), y mantener SeShutdownPrivilege habilitado — el kernel salta directamente a ExpRaiseHardError → KeBugCheckEx con código de bugcheck 0xF4 (CRITICAL_OBJECT_TERMINATION) o 0xC1 (SPECIAL_POOL_DETECTED_MEMORY_CORRUPTION) según el status. Wininit.exe y Csrss.exe usan legítimamente la misma llamada para apagar el sistema cuando muere un proceso crítico; el malware se monta en la misma maquinaria.

Uso común por malware

La primitiva clásica de 'tirar la máquina desde modo usuario'. El ransomware usa NtRaiseHardError como etapa 3 anti-forense: tras completar el cifrado y borrar instantáneas, forzar un BSOD para interrumpir cualquier forense de memoria, sesión de live-response de EDR o intento de recuperación. Algunos wipers destructivos (HermeticWiper, CaddyWiper) lo invocan como acción final para que el siguiente arranque caiga en WinRE sin volumen de usuario utilizable. Las familias de evasión de defensas también usan la forma no-FATAL para generar diálogos convincentes de 'actualización crítica' en cadenas de ingeniería social. La barrera de privilegio es leve — cualquier proceso ejecutándose como Administrador con SeShutdownPrivilege habilitado por defecto puede BSOD el host.

Oportunidades de detección

Activar el bit de política de auditoría 'Creación de procesos' sobre wininit.exe y csrss.exe, y adicionalmente usar ETW Microsoft-Windows-Threat-Intelligence (EtwTiLogRaiseHardError donde esté expuesto). En la vía superviviente, el canal Application registra hard errors como Event ID 1023 (DrWatson) y el canal System registra BugCheck (Event ID 1001) en el reinicio tras un bugcheck inducido por hard-error. La prevención más útil es eliminar SeShutdownPrivilege de cuentas de servicio no privilegiadas — la mayoría no lo necesitan, y eliminarlo neutraliza la amenaza de BSOD desde modo usuario por completo.

Ejemplos de syscalls directos

// Requires SeShutdownPrivilege enabled in the token.
// Result: instant 0xF4 CRITICAL_OBJECT_TERMINATION bugcheck.
BOOLEAN wasEnabled;
RtlAdjustPrivilege(SE_SHUTDOWN_PRIVILEGE, TRUE, FALSE, &wasEnabled);

ULONG response;
NtRaiseHardError(
    STATUS_ASSERTION_FAILURE,    // 0xC0000420 - severity FATAL
    0, 0, NULL,
    OptionShutdownSystem,        // 6 -> kernel routes to KeBugCheckEx
    &response);
// Never returns.

// Non-FATAL severity -> CSRSS displays a hard-error dialog with template text.
UNICODE_STRING msg;
RtlInitUnicodeString(&msg, L"Critical Windows component compromised. Restart now.");
ULONG_PTR params[1] = { (ULONG_PTR)&msg };
ULONG response;
NtRaiseHardError(
    STATUS_FATAL_APP_EXIT,
    1,
    1,                   // bit 0 = first param is a UNICODE_STRING*
    params,
    OptionOk,
    &response);

NtRaiseHardError PROC
    mov  r10, rcx
    mov  eax, 175h         ; Win11 24H2 SSN
    syscall
    ret
NtRaiseHardError ENDP

Mapeos MITRE ATT&CK

• T1485Data Destructionmitre ↗
• T1529System Shutdown/Rebootmitre ↗
• T1106Native APImitre ↗