NtRequestPort

Prototipo

NTSTATUS NtRequestPort(
  HANDLE         PortHandle,
  PPORT_MESSAGE  RequestMessage
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 86 01 00 00      mov eax, 0x186
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtRequestPort es la variante asíncrona sin respuesta de NtRequestWaitReplyPort en la ruta **LPC** heredada. El kernel copia el PORT_MESSAGE en línea en la cola del puerto receptor y retorna inmediatamente — el llamante nunca bloquea esperando respuesta. Se usa típicamente para notificaciones unidireccionales (p. ej. publicación de eventos CSRSS en builds pre-Vista). Payload en línea limitado a PORT_MAXIMUM_MESSAGE_LENGTH (256 bytes); para más se requiere una PORT_VIEW compartida previamente negociada.

Uso común por malware

En Windows moderno, el uso por malware de NtRequestPort es *insignificante*. Históricamente algunos rootkits user-mode pre-Vista lo empleaban como señal de fan-out unidireccional (p. ej. notificar a un componente co-residente que cambie de estado) precisamente porque no existe wrapper Win32 y las herramientas en userspace raramente exponen el tráfico LPC. Hoy un atacante con esa semántica usa NtAlpcSendWaitReceivePort con `ALPC_MSGFLG_RELEASE_MESSAGE`, un mailslot en escritura o un write sobre named pipe. Cualquier petición LPC en crudo desde un proceso sin firmar es por sí misma anómala.

Oportunidades de detección

Sin proveedor ETW dedicado a LPC heredado equivalente a `Microsoft-Windows-Kernel-ALPC`. Los EDR de kernel pueden hookear el syscall directamente; los EDR de user mode hookean `ntdll!NtRequestPort`. La línea base de llamantes legítimos en Windows 10/11 es prácticamente nula (casi nada en la base sigue usando LPC crudo), por lo que *cualquier* hit desde un proceso sin firmar o sandboxeado es de alta señal. WinObj revela objetos puerto vivos pero no mensajes en tránsito.

Ejemplos de syscalls directos

; Direct syscall stub for NtRequestPort (SSN 0x186 on Win11 24H2)
NtRequestPort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 186h         ; SSN — verify per-build
    syscall
    ret
NtRequestPort ENDP

// Send a one-way LPC message on a connected port.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtRequestPort)(HANDLE, PVOID /*PPORT_MESSAGE*/);

NTSTATUS LpcNotify(HANDLE hPort, void *msgBuf) {
    pNtRequestPort fn = (pNtRequestPort)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtRequestPort");
    return fn(hPort, msgBuf);  // returns once the kernel queues the message
}

Mapeos MITRE ATT&CK

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗