NtCreatePort

Prototype

NTSTATUS NtCreatePort(
  PHANDLE             PortHandle,
  POBJECT_ATTRIBUTES  ObjectAttributes,
  ULONG               MaxConnectionInfoLength,
  ULONG               MaxMessageLength,
  ULONG               MaxPoolUsage
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 BE 00 00 00      mov eax, 0xBE
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtCreatePort est le côté *serveur* du mécanisme IPC **LPC** historique (pré-Vista). Il enregistre un objet port nommé — typiquement sous `\RPC Control\` — que les clients atteignent via NtConnectPort. Après acceptation par NtAcceptConnectPort puis finalisation par NtCompleteConnectPort, le serveur entre dans sa boucle de réception via NtReplyWaitReceivePort. Depuis Vista, le noyau expose l'API **ALPC** plus riche (NtAlpcCreatePort etc.) et Microsoft a migré quasiment tout le RPC interne vers ALPC. LPC reste dans la SSDT pour compatibilité mais n'est presque plus utilisé par ce qui se livre aujourd'hui.

Usage courant par les malwares

L'usage offensif moderne de NtCreatePort est *peu courant*. Le pattern historique pertinent est un implant kernel ou user-mode qui enregistre un nom de port LPC mimant un composant noyau légitime (p. ex. quelque chose ressemblant à `\SeLsaCommandPort`) et l'utilise comme canal C2 intra-host furtif ne touchant ni Winsock ni les APIs named pipe. Aujourd'hui un attaquant qui veut de l'IPC intra-host se tournera presque toujours vers ALPC, named pipes, mailslots ou sections partagées. Tout processus non signé Microsoft invoquant NtCreatePort doit être considéré anormal.

Opportunités de détection

Pas de provider ETW dédié au LPC historique équivalent à `Microsoft-Windows-Kernel-ALPC`. La détection repose donc sur des callbacks kernel (hooks ObCreateObject de l'Object Manager via ObRegisterCallbacks pour le type `Port`) ou un hook syscall en driver. SystemInformer et WinObj énumèrent les objets port vivants sous `\RPC Control` et `\Sessions\<n>\Windows`. Tout nouveau nom de port ne correspondant pas à un composant Microsoft connu (csrss, lsass, smss, sous-système RPC) mérite enquête.

Exemples de syscalls directs

; Direct syscall stub for NtCreatePort (SSN 0xBE on Win11 24H2)
NtCreatePort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 0BEh         ; SSN — verify per-build before deploying
    syscall
    ret
NtCreatePort ENDP

// Create an LPC server port under \RPC Control.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtCreatePort)(
    PHANDLE, POBJECT_ATTRIBUTES, ULONG, ULONG, ULONG);

NTSTATUS CreateLpcPort(HANDLE *outHandle, PCWSTR ntName) {
    UNICODE_STRING name;
    OBJECT_ATTRIBUTES oa;
    RtlInitUnicodeString(&name, ntName);
    InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

    pNtCreatePort fn = (pNtCreatePort)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtCreatePort");
    return fn(outHandle, &oa, 0x100, 0x100, 0x2000);
}

Mappings MITRE ATT&CK

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗