NtAlpcImpersonateClientOfPort

Prototype

NTSTATUS NtAlpcImpersonateClientOfPort(
  HANDLE                    PortHandle,
  PPORT_MESSAGE             Message,
  PALPC_IMPERSONATE_INFO    Flags
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 88 00 00 00      mov eax, 0x88
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

`NtAlpcImpersonateClientOfPort` est l'analogue ALPC de `ImpersonateNamedPipeClient` : le thread serveur qui vient de recevoir un message endosse temporairement le token primaire du client, effectue une opération privilégiée pour son compte, puis appelle `RevertToSelf`. Le niveau d'impersonation est borné par le `SECURITY_QUALITY_OF_SERVICE.ImpersonationLevel` du client au moment du connect, mais un serveur demandant *Impersonate* sans override QoS côté client reste la valeur par défaut pour quasi tous les services Windows. Tout appel Win32 / RPC `RpcImpersonateClient` sur une liaison `ncalrpc` finit ici. Implémentation : `AlpcpImpersonateClient` dans `ntoskrnl.exe`, qui appelle `SeImpersonateClientEx`.

Usage courant par les malwares

**C'est le syscall ALPC à plus forte valeur pour l'élévation de privilèges** — mais, surtout, le bug est presque toujours dans l'*appelant*, pas dans le syscall lui-même. Le pattern : un service tournant en SYSTEM expose un endpoint ALPC, accepte une connexion d'un client non privilégié, l'impersonne pour faire un access check (« cet utilisateur peut-il supprimer ce fichier ? »), puis **oublie de revert** avant l'action privilégiée — ou fait le check sur un objet différent de celui sur lequel il agit (TOCTOU). CVE-2018-8440 (LPE Task Scheduler ALPC de SandboxEscaper), CVE-2019-1130 (impersonation UMPS), CVE-2020-0668 (LPE Windows Service Tracing) et plusieurs variantes PrintNightmare Print Spooler reposent toutes sur ce type d'abus d'impersonation. Le malware n'*appelle* généralement pas ce syscall — il envoie le bon message ALPC au bon moment pour piéger un service SYSTEM qui le fait.

Opportunités de détection

Côté *appelant* : le syscall est invoqué par à peu près chaque serveur RPC Windows à chaque message — inutile comme signal primaire. Côté *exploit* : se concentrer sur les conséquences. Sysmon Event ID 1 (Process Create) avec `ParentImage=services.exe` / `spoolsv.exe` / `taskschd.exe`, `User=SYSTEM` mais un token dont l'`IntegrityLevel` ne correspond pas aux attentes est un signal fort. Les rafales ETW `Microsoft-Windows-Security-Auditing` Event ID 4624 (logon) de type 9 (NewCredentials) depuis un service host sont suspectes. Les mitigations noyau (famille `ImpersonateCheck` de Microsoft, `RpcServerRegisterAuthInfoExW` avec SIDs restreints) réduisent l'exposition plus sûrement que les règles de détection.

Exemples de syscalls directs

; Direct syscall stub for NtAlpcImpersonateClientOfPort (SSN 0x88 on Win11 24H2)
NtAlpcImpersonateClientOfPort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 88h          ; SSN — drifts per build
    syscall
    ret
NtAlpcImpersonateClientOfPort ENDP

// The bug class lives in callers that forget RevertToSelf, or that
// perform the privileged work on a different object than the one checked.
#include <windows.h>
#include <winternl.h>

typedef struct _ALPC_IMPERSONATE_INFO {
    SECURITY_IMPERSONATION_LEVEL ImpersonationLevel;
    ULONG Flags;
    ULONG RequiredImpersonationLevel;
} ALPC_IMPERSONATE_INFO, *PALPC_IMPERSONATE_INFO;

typedef NTSTATUS (NTAPI *pNtAlpcImpersonateClientOfPort)(
    HANDLE, PPORT_MESSAGE, PALPC_IMPERSONATE_INFO);

NTSTATUS DoAsClient(HANDLE hCommPort, PPORT_MESSAGE pMsg,
                    NTSTATUS (*work)(void)) {
    pNtAlpcImpersonateClientOfPort imp = (pNtAlpcImpersonateClientOfPort)
        GetProcAddress(GetModuleHandleA("ntdll.dll"),
                       "NtAlpcImpersonateClientOfPort");
    NTSTATUS st = imp(hCommPort, pMsg, NULL /* default QoS */);
    if (!NT_SUCCESS(st)) return st;
    st = work();              // ALL privileged work happens here
    RevertToSelf();           // NEVER skip — exploit class is forgetting this
    return st;
}

// Real ALPC LPE chains (CVE-2018-8440, CVE-2020-0668, PrintNightmare variants)
// trick a privileged service into calling NtAlpcImpersonateClientOfPort against
// an attacker-controlled message, then performing FS / registry I/O AFTER the
// impersonation has either been reverted or never applied to the right object.
// The syscall itself behaves correctly — the vulnerability lives in the service.
// This file documents the syscall only; PoCs belong with the CVE references.

Mappings MITRE ATT&CK

• T1068Exploitation for Privilege Escalationmitre ↗
• T1134.001Access Token Manipulation: Token Impersonation/Theftmitre ↗
• T1106Native APImitre ↗