NtShutdownWorkerFactory

Prototipo

NTSTATUS NtShutdownWorkerFactory(
  HANDLE  WorkerFactoryHandle,
  LONG   *PendingWorkerCount
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 C7 01 00 00      mov eax, 0x1C7
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Activar la bandera de apagado en una worker factory impide que el kernel genere nuevos hilos de trabajo pero deja drenar a los existentes hasta su salida natural. El `PendingWorkerCount` devuelto permite al llamador sondear la quiescencia total antes de cerrar el puerto de finalización de E/S subyacente. `ntdll!TppWorkerFactoryShutdown` y `RtlpThreadpoolWorkerFactoryShutdown` lo llaman; el código de usuario rara vez lo hace directamente fuera del teardown del CRT o de LdrShutdownProcess.

Uso común por malware

Tras una ejecución PoolParty exitosa y una vez el shellcode termina su trabajo, el implante suele llamar NtShutdownWorkerFactory para desmontar elegantemente el threadpool ajeno — dejando menos artefactos que un `NtTerminateThread` duro. El mismo syscall puede usarse defensivamente por el atacante: con derechos `WORKER_FACTORY_SHUTDOWN` sobre el threadpool de la víctima, un atacante puede paralizar sus pipelines asíncronos (worker pool HTTP, ThreadPool de .NET, dispatchers RPC) sin tumbar el proceso — un DoS sigiloso. Las PoC públicas de PoolParty incluyen el shutdown como paso de limpieza.

Oportunidades de detección

Las llamadas NtShutdownWorkerFactory aisladas son ruidosas en el teardown normal — cada salida de proceso emite algunas — por lo que la invocación inter-proceso es la señal significativa. Acópielo con el evento previo NtCreateWorkerFactory: un proceso que crea una worker factory en otro y poco después la apaga es altamente sospechoso. El object manager del kernel registra los handles abiertos a la WorkerFactory; ObRegisterCallbacks puede interceptar las duplicaciones de handle entre procesos.

Ejemplos de syscalls directos

// Called by the loader after the shellcode signals 'done'.
LONG pending = 0;
NTSTATUS s = NtShutdownWorkerFactory(hWorkerFactory, &pending);
while (NT_SUCCESS(s) && pending > 0) {
    // Workers still draining — sleep, then re-query.
    Sleep(50);
    NtQueryInformationWorkerFactory(hWorkerFactory,
        WorkerFactoryBasicInformation,
        &basic, sizeof(basic), NULL);
    pending = basic.TotalWorkerCount;
}
NtClose(hWorkerFactory);
NtClose(hIoCompletion);

NtShutdownWorkerFactory PROC
    mov  r10, rcx
    mov  eax, 1C7h     ; Win11 24H2 / Server 2025
    syscall
    ret
NtShutdownWorkerFactory ENDP

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗