NtInitiatePowerAction

Prototype

NTSTATUS NtInitiatePowerAction(
  POWER_ACTION       SystemAction,
  SYSTEM_POWER_STATE MinSystemState,
  ULONG              Flags,
  BOOLEAN            Asynchronous
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 0A 01 00 00      mov eax, 0x10A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Point d'entrée haut niveau des actions d'alimentation : `InitiatePowerActionW`, `SetSuspendState` (via powrprof.dll), `ExitWindowsEx` (pour les variantes shutdown/reboot) et les chemins rapides Modern Standby passent tous par ici. Contrairement à `NtSetSystemPowerState`, cette fonction passe par le **power policy manager** : elle diffuse WM_POWERBROADCAST / PBT_APMQUERYSUSPEND aux processus en cours, honore `QUERY_ALLOWED` (les apps peuvent refuser) et ne délègue ensuite à `NtSetSystemPowerState` que si la politique le permet. Requiert `SeShutdownPrivilege`. Le paramètre `Asynchronous` est le bouton opérationnel critique — async revient immédiatement et l'appelant ne peut pas détecter un refus ; sync bloque jusqu'à reprise ou veto d'un driver/app.

Usage courant par les malwares

**Le reboot post-chiffrement ransomware** est l'abus dominant. Royal, BlackCat/ALPHV, Conti, LockBit 3.0 et BlackSuit émettent tous un reboot de classe InitiatePowerAction après avoir écrit la note de rançon — l'objectif est de pousser les utilisateurs vers l'écran de récupération ou Windows RE, ce qui met de manière fiable la note de rançon à l'écran et empêche un rollback rapide via les Volume Shadow Copies encore en mémoire. **Les wipers** (HermeticWiper, IsaacWiper, WhisperGate, CaddyWiper) déclenchent de même un ShutdownReset pour faire redémarrer la machine avec des données de boot corrompues. Une classe plus restreinte de loaders red-team appelle PowerActionSleep avec `DISABLE_WAKES | CRITICAL` pour évader des sessions sandbox de courte durée. L'exigence de privilège (SeShutdownPrivilege) est triviale pour du malware en admin ou LocalSystem, mais pour du code utilisateur peu privilégié le check échoue — la plupart des ransomwares embarquent une primitive d'élévation préalable.

Opportunités de détection

Le provider ETW Microsoft-Windows-Kernel-Power émet des événements structurés pour chaque initiate-power-action : PID source, action, flags, succès/échec. Journal d'événements : le log System enregistre l'Event ID 1074 pour le processus initiateur de tout shutdown/reboot user-initiated (propre), 6005/6006 pour l'init service pack, 6008 pour les shutdowns sales. La règle comportementale la plus actionnable : un processus qui a fait >N écritures/modifications de fichiers dans les 60 dernières secondes puis appelle une action d'alimentation de classe Shutdown/Reset — c'est un indicateur ransomware quasi parfait. L'ajustement de SeShutdownPrivilege depuis un token non-interactif est en lui-même inhabituel et mérite une alerte. Les EDR qui hookent ntdll voient cet appel directement ; les variantes en syscall direct contournent ntdll mais laissent quand même la trace ETW.

Exemples de syscalls directs

; Direct syscall stub for NtInitiatePowerAction (SSN 0x10A on Win11 24H2)
NtInitiatePowerAction PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 10Ah         ; SSN — varies per build
    syscall
    ret
NtInitiatePowerAction ENDP

// Final step after the encryption pass and ransom-note drop.
// PowerActionShutdownReset = 6 (reboot), PowerSystemShutdown = 6.
// Flags = POWER_ACTION_DISABLE_WAKES | POWER_ACTION_CRITICAL
//          | POWER_ACTION_OVERRIDE_APPS  bypass app refusal.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtInitiatePowerAction)(ULONG, ULONG, ULONG, BOOLEAN);

VOID PostEncryptReboot(VOID) {
    pNtInitiatePowerAction NtInitiatePowerAction = (pNtInitiatePowerAction)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtInitiatePowerAction");
    // SeShutdownPrivilege assumed already enabled
    NtInitiatePowerAction(
        /* SystemAction   */ 6,
        /* MinSystemState */ 6,
        /* Flags          */ 0xC0010000, // CRITICAL | DISABLE_WAKES | OVERRIDE_APPS
        /* Asynchronous   */ FALSE);
}

// Cargo: windows-sys = "0.59"
// Try to put the analysis VM into S3 sleep before the loader's real work runs.
// Async + DISABLE_WAKES prevents most sandbox harnesses from resuming it cleanly.
use windows_sys::Win32::Security::*;
use windows_sys::Win32::System::Threading::*;
use windows_sys::Win32::Foundation::*;

extern "system" {
    fn NtInitiatePowerAction(action: u32, min_state: u32, flags: u32, asynch: u8) -> i32;
}

pub unsafe fn evade_via_sleep() -> i32 {
    let mut tok: HANDLE = std::mem::zeroed();
    OpenProcessToken(GetCurrentProcess(),
        TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &mut tok);
    // (omitted: LookupPrivilegeValueW + AdjustTokenPrivileges for SeShutdownPrivilege)
    // PowerActionSleep = 2, PowerSystemSleeping3 = 5
    NtInitiatePowerAction(2, 5, 0x40000000 /* DISABLE_WAKES */, 1)
}

Mappings MITRE ATT&CK

• T1529System Shutdown/Rebootmitre ↗
• T1485Data Destructionmitre ↗
• T1497Virtualization/Sandbox Evasionmitre ↗