NtReleaseWorkerFactoryWorker

Prototype

NTSTATUS NtReleaseWorkerFactoryWorker(
  HANDLE  WorkerFactoryHandle
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 7E 01 00 00      mov eax, 0x17E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Le pendant interne de l'étape « réveiller un worker » de `SubmitThreadpoolWork`. Le wrapper utilisateur `TpPostWork` poste un paquet sur le port de complétion puis appelle NtReleaseWorkerFactoryWorker s'il ne voit aucun worker en attente — le syscall incrémente le compteur de release de la factory et, si nécessaire, demande au noyau de créer un thread supplémentaire jusqu'à `ThreadMaximum`. Avec NtWorkerFactoryWorkerReady et NtWaitForWorkViaWorkerFactory, il forme le cycle de vie à trois appels du worker.

Usage courant par les malwares

Dans une variante PoolParty « worker via completion port », l'attaquant poste un item de travail forgé via NtSetIoCompletion puis appelle NtReleaseWorkerFactoryWorker pour garantir qu'un thread worker le récupère rapidement — utile quand le pool de la victime est inactif et laisserait sinon le paquet malicieux en file indéfiniment. L'appel inter-processus (sur un handle de worker factory distant dupliqué) est rare en code légitime ; c'est un signal corroborant utile en conjonction avec un NtCreateWorkerFactory inter-processus.

Opportunités de détection

Les invocations intra-processus sont bruyantes et non actionnables. La signature actionnable est inter-processus : un Release sur une worker factory dont le processus propriétaire n'est *pas* l'appelant. Les callbacks noyau peuvent l'identifier en lisant le `ProcessId` de l'objet WorkerFactory et en le comparant à PsGetCurrentProcessId sur le site du syscall. Aucune télémétrie utilisateur documentée pour ce syscall.

Exemples de syscalls directs

// PoolParty completion-port variant — after NtSetIoCompletion delivered the
// payload, nudge the factory to guarantee a worker thread services it.
NtSetIoCompletion(hIoCompletion, NULL, NULL, STATUS_SUCCESS, 1);
NtReleaseWorkerFactoryWorker(hWorkerFactory);

NtReleaseWorkerFactoryWorker PROC
    mov  r10, rcx
    mov  eax, 17Eh
    syscall
    ret
NtReleaseWorkerFactoryWorker ENDP

Mappings MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗