NtReleaseWorkerFactoryWorker

Prototipo

NTSTATUS NtReleaseWorkerFactoryWorker(
  HANDLE  WorkerFactoryHandle
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 7E 01 00 00      mov eax, 0x17E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

El equivalente interno del paso 'despertar un worker' de `SubmitThreadpoolWork`. El envoltorio en modo usuario `TpPostWork` postea un paquete al puerto de finalización y luego llama a NtReleaseWorkerFactoryWorker si no ve workers esperando — el syscall incrementa el contador de release de la factory y, si es necesario, pide al kernel que genere un hilo adicional hasta `ThreadMaximum`. Junto con NtWorkerFactoryWorkerReady y NtWaitForWorkViaWorkerFactory forma el ciclo de vida del worker de tres llamadas.

Uso común por malware

En una variante PoolParty 'worker via completion port' el atacante postea un item de trabajo falsificado con NtSetIoCompletion y luego llama a NtReleaseWorkerFactoryWorker para garantizar que un hilo worker lo recoja rápido — útil cuando el pool de la víctima está inactivo y de otro modo dejaría el paquete malicioso en cola indefinidamente. Llamarlo inter-proceso (sobre un handle remoto duplicado de worker factory) es raro en código legítimo; es una señal corroborante útil junto con un NtCreateWorkerFactory inter-proceso.

Oportunidades de detección

Las invocaciones intra-proceso son ruidosas y no accionables. La firma accionable es inter-proceso: un Release sobre una worker factory cuyo proceso dueño *no* es el llamador. Los callbacks del kernel pueden identificarlo recorriendo el `ProcessId` del objeto WorkerFactory y comparándolo con PsGetCurrentProcessId en el sitio del syscall. No hay telemetría documentada en modo usuario para este syscall.

Ejemplos de syscalls directos

// PoolParty completion-port variant — after NtSetIoCompletion delivered the
// payload, nudge the factory to guarantee a worker thread services it.
NtSetIoCompletion(hIoCompletion, NULL, NULL, STATUS_SUCCESS, 1);
NtReleaseWorkerFactoryWorker(hWorkerFactory);

NtReleaseWorkerFactoryWorker PROC
    mov  r10, rcx
    mov  eax, 17Eh
    syscall
    ret
NtReleaseWorkerFactoryWorker ENDP

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗