NtSetInformationWorkerFactory

Prototipo

NTSTATUS NtSetInformationWorkerFactory(
  HANDLE                     WorkerFactoryHandle,
  WORKERFACTORYINFOCLASS     WorkerFactoryInformationClass,
  PVOID                      WorkerFactoryInformation,
  ULONG                      WorkerFactoryInformationLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 B1 01 00 00      mov eax, 0x1B1
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

El enum `WORKERFACTORYINFOCLASS` (definido en phnt/ntexapi.h) selecciona qué campo de la estructura del kernel `EWORKER_FACTORY` se toca. La mayoría de las clases — mínimo/máximo de hilos, conjuntos de CPU, ajustes de timeout — son perillas mundanas de dimensionado del threadpool. Dos son interesantes: `WorkerFactoryBasicInformation` expone (y, al Set, puede sobrescribir) los campos `StartRoutine` y `StartParameter`, y `WorkerFactoryThreadFlags` puede marcar workers como largos o cortos, cambiando con qué agresividad el kernel los recoge.

Uso común por malware

Las variantes PoolParty 'Start Routine Overwrite' parten la operación en dos: primero llaman NtCreateWorkerFactory con una StartRoutine benigna (ntdll!TppWorkerThread es la opción obvia — hace que la factory parezca idéntica a una legítima en una instantánea breve), luego llaman NtSetInformationWorkerFactory con `WorkerFactoryBasicInformation` para sobrescribir StartRoutine con el puntero al shellcode justo antes de postear trabajo. El patrón en dos pasos derrota a las detecciones inter-proceso simples que solo inspeccionan la StartRoutine en el momento de creación. El mismo syscall se usa para bajar los mínimos de hilos a cero en algunos gadgets de evasión de sleep que abusan del threadpool para imitar el comportamiento en reposo de un proceso benigno.

Oportunidades de detección

Las escrituras de WorkerFactoryBasicInformation son raras en código normal — el threadpool de ntdll fija la StartRoutine en la creación y no la vuelve a tocar. Un callback de kernel que compare `EWORKER_FACTORY.StartRoutine` antes y después de este syscall y marque cualquier cambio en el campo es de alta fidelidad. La invocación inter-proceso amplifica la señal: el ajuste legítimo del threadpool es siempre intra-proceso. Microsoft-Windows-Threading ETW emite algunas clases pero no todas; la cobertura fiable requiere ObRegisterCallbacks sobre el tipo de objeto WorkerFactory o un minifilter que observe el syscall en kernel.

Ejemplos de syscalls directos

// Step 2 of the 'overwrite' variant — flip the entry point to shellcode
// after the factory was created with a benign decoy routine.
typedef struct _WORKER_FACTORY_BASIC_INFORMATION {
    LARGE_INTEGER Timeout;
    LARGE_INTEGER RetryTimeout;
    LARGE_INTEGER IdleTimeout;
    BOOLEAN       Paused;
    BOOLEAN       TimerSet;
    BOOLEAN       QueuedToExWorker;
    BOOLEAN       MayCreate;
    BOOLEAN       CreateInProgress;
    BOOLEAN       InsertedIntoQueue;
    BOOLEAN       Shutdown;
    ULONG         BindingCount;
    ULONG         ThreadMinimum;
    ULONG         ThreadMaximum;
    ULONG         PendingWorkerCount;
    ULONG         WaitingWorkerCount;
    ULONG         TotalWorkerCount;
    ULONG         ReleaseCount;
    LONGLONG      InfiniteWaitGoal;
    PVOID         StartRoutine;
    PVOID         StartParameter;
    HANDLE        ProcessId;
    SIZE_T        StackReserve;
    SIZE_T        StackCommit;
    NTSTATUS      LastThreadCreationStatus;
} WORKER_FACTORY_BASIC_INFORMATION;

WORKER_FACTORY_BASIC_INFORMATION info = {0};
NtQueryInformationWorkerFactory(hWf, WorkerFactoryBasicInformation,
                                &info, sizeof(info), NULL);
info.StartRoutine  = pRemoteShellcode;   // hijack
info.StartParameter = NULL;
NtSetInformationWorkerFactory(hWf, WorkerFactoryBasicInformation,
                              &info, sizeof(info));

NtSetInformationWorkerFactory PROC
    mov  r10, rcx
    mov  eax, 1B1h     ; Win11 24H2 / Server 2025
    syscall
    ret
NtSetInformationWorkerFactory ENDP

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗