NtRaiseHardError

Prototype

NTSTATUS NtRaiseHardError(
  NTSTATUS                 ErrorStatus,
  ULONG                    NumberOfParameters,
  ULONG                    UnicodeStringParameterMask,
  PULONG_PTR               Parameters,
  HARDERROR_RESPONSE_OPTION ResponseOption,
  PHARDERROR_RESPONSE      Response
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 75 01 00 00      mov eax, 0x175
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtRaiseHardError a deux personnalités totalement différentes selon les combinaisons de paramètres. La voie bénigne poste un message LPC d'erreur dure à CSRSS, qui peint la familière boîte « Un périphérique connecté au système ne fonctionne pas ». La fameuse voie BSOD : passer n'importe quel statut STATUS_SEVERITY_FATAL (deux bits hauts = 11), ResponseOption = OptionShutdownSystem (6), et garder SeShutdownPrivilege activé — le noyau saute directement dans ExpRaiseHardError → KeBugCheckEx avec le code de bugcheck 0xF4 (CRITICAL_OBJECT_TERMINATION) ou 0xC1 (SPECIAL_POOL_DETECTED_MEMORY_CORRUPTION) selon le statut. Wininit.exe et Csrss.exe utilisent légitimement le même appel pour faire tomber le système quand un processus critique meurt ; les malwares se greffent sur la même mécanique.

Usage courant par les malwares

La primitive classique « planter la machine depuis le user-mode ». Les rançongiciels utilisent NtRaiseHardError comme étape 3 d'anti-forensique : après chiffrement complet et effacement des copies d'ombre, forcer un BSOD pour perturber toute forensique mémoire, session de live-response EDR, ou tentative de récupération. Certains wipers destructifs (HermeticWiper, CaddyWiper) l'appellent comme action finale pour que le prochain boot atterrisse dans WinRE sans volume utilisateur exploitable. Les familles à évasion de défense utilisent aussi la forme non-FATAL pour générer des dialogues « mise à jour critique » convaincants dans des chaînes d'ingénierie sociale. La barrière de privilège est faible — tout processus tournant en Administrator avec SeShutdownPrivilege activé par défaut peut BSOD l'hôte.

Opportunités de détection

Activer le bit de stratégie d'audit « Création de processus » sur wininit.exe et csrss.exe, et utiliser en complément ETW Microsoft-Windows-Threat-Intelligence (EtwTiLogRaiseHardError là où exposé). Sur la voie survivable, le journal Application enregistre les erreurs dures comme Event ID 1023 (DrWatson) et le canal Système enregistre BugCheck (Event ID 1001) au redémarrage après un bugcheck induit par hard-error. La prévention la plus utile est de retirer SeShutdownPrivilege aux comptes de service non privilégiés — la plupart n'en ont pas besoin, et le retrait neutralise totalement la menace de BSOD userland.

Exemples de syscalls directs

// Requires SeShutdownPrivilege enabled in the token.
// Result: instant 0xF4 CRITICAL_OBJECT_TERMINATION bugcheck.
BOOLEAN wasEnabled;
RtlAdjustPrivilege(SE_SHUTDOWN_PRIVILEGE, TRUE, FALSE, &wasEnabled);

ULONG response;
NtRaiseHardError(
    STATUS_ASSERTION_FAILURE,    // 0xC0000420 - severity FATAL
    0, 0, NULL,
    OptionShutdownSystem,        // 6 -> kernel routes to KeBugCheckEx
    &response);
// Never returns.

// Non-FATAL severity -> CSRSS displays a hard-error dialog with template text.
UNICODE_STRING msg;
RtlInitUnicodeString(&msg, L"Critical Windows component compromised. Restart now.");
ULONG_PTR params[1] = { (ULONG_PTR)&msg };
ULONG response;
NtRaiseHardError(
    STATUS_FATAL_APP_EXIT,
    1,
    1,                   // bit 0 = first param is a UNICODE_STRING*
    params,
    OptionOk,
    &response);

NtRaiseHardError PROC
    mov  r10, rcx
    mov  eax, 175h         ; Win11 24H2 SSN
    syscall
    ret
NtRaiseHardError ENDP

Mappings MITRE ATT&CK

• T1485Data Destructionmitre ↗
• T1529System Shutdown/Rebootmitre ↗
• T1106Native APImitre ↗