NtWorkerFactoryWorkerReady

Prototipo

NTSTATUS NtWorkerFactoryWorkerReady(
  HANDLE  WorkerFactoryHandle
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 01 00 00 00      mov eax, 0x1
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

El número de syscall más estable de toda la tabla — `0x1` desde Windows 7 en adelante. Lo invoca exclusivamente `ntdll!TppWorkerThread` (la StartRoutine canónica de cualquier worker factory) y le dice al kernel: 'este worker terminó su despacho anterior, decrementa mi contador de pendientes, vuelvo a NtWaitForWorkViaWorkerFactory'. La contabilidad que realiza es lo que permite al kernel decidir si generar más workers, retirar inactivos o mantener el conteo plano.

Uso común por malware

Casi nunca lo invoca directamente el malware — es parte de la contabilidad interna del threadpool y solo tiene sentido en el contexto de un bucle real `TppWorkerThread`. La excepción son las variantes de PoolParty donde el shellcode mismo emula el handshake del worker para mantener la contabilidad del threadpool coherente (y por tanto el proceso padre receptivo) tras secuestrar un worker. Saltarse el ciclo ready/wait/release hace que el `PendingWorkerCount` del kernel se desvíe, lo que puede ahogar al resto del threadpool de la víctima — observable como una aplicación colgada.

Oportunidades de detección

Efectivamente indetectable de forma aislada — cada proceso de Windows con CRT, runtime .NET o apartment COM emite miles por segundo. La detección solo es posible cuando *falta*: una worker factory cuyo contador ready nunca se incrementa mientras su puerto de finalización se drena indica que algo está esquivando el handshake (un shellcode PoolParty que olvidó emular el bucle, o un depurador reteniendo un worker). Es una heurística, no una señal primaria.

Ejemplos de syscalls directos

// Approximate reverse of the user-mode loop driven by NtCreateWorkerFactory.
// Do NOT call directly — this is what TppWorkerThread does on every worker.
VOID WINAPI TppWorkerThreadLike(PVOID context) {
    HANDLE hWf = ((PTHREADPOOL_INTERNAL)context)->WorkerFactoryHandle;
    for (;;) {
        FILE_IO_COMPLETION_INFORMATION info;
        NTSTATUS s = NtWaitForWorkViaWorkerFactory(hWf, &info);
        if (!NT_SUCCESS(s)) break;
        // Dispatch the callback that info.KeyContext encodes.
        DispatchCallback(&info);
        // Tell the kernel we're done and ready for the next item.
        NtWorkerFactoryWorkerReady(hWf);
    }
}

; Stable across every Windows 10/11 build.
NtWorkerFactoryWorkerReady PROC
    mov  r10, rcx
    mov  eax, 1
    syscall
    ret
NtWorkerFactoryWorkerReady ENDP

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗