NtSetInformationWorkerFactory

Prototype

NTSTATUS NtSetInformationWorkerFactory(
  HANDLE                     WorkerFactoryHandle,
  WORKERFACTORYINFOCLASS     WorkerFactoryInformationClass,
  PVOID                      WorkerFactoryInformation,
  ULONG                      WorkerFactoryInformationLength
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 B1 01 00 00      mov eax, 0x1B1
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

L'énumération `WORKERFACTORYINFOCLASS` (définie dans phnt/ntexapi.h) sélectionne quel champ de la structure noyau `EWORKER_FACTORY` est modifié. La plupart des classes — min/max de threads, ensembles CPU, ajustements de timeout — sont des boutons de dimensionnement banals du threadpool. Deux sont intéressantes : `WorkerFactoryBasicInformation` expose (et, en Set, peut réécrire) les champs `StartRoutine` et `StartParameter`, et `WorkerFactoryThreadFlags` peut marquer les workers comme longs ou courts, modifiant l'agressivité avec laquelle le noyau les récupère.

Usage courant par les malwares

Les variantes PoolParty « Start Routine Overwrite » scindent l'opération en deux : d'abord appeler NtCreateWorkerFactory avec une StartRoutine bénigne (ntdll!TppWorkerThread est le choix évident — la factory devient indiscernable d'une légitime sur un cliché bref), puis appeler NtSetInformationWorkerFactory avec `WorkerFactoryBasicInformation` pour réécrire StartRoutine vers le pointeur de shellcode juste avant de poster le travail. Le schéma en deux étapes met en échec les détections inter-processus simples qui n'inspectent la StartRoutine qu'à la création. Le même syscall sert à mettre les minimums de threads à zéro dans certains gadgets d'évasion de sleep qui utilisent le threadpool pour imiter le comportement au repos d'un processus inoffensif.

Opportunités de détection

Les écritures WorkerFactoryBasicInformation sont rares en code normal — le threadpool ntdll fixe la StartRoutine à la création et n'y touche plus jamais. Un callback noyau qui compare `EWORKER_FACTORY.StartRoutine` avant/après ce syscall et signale tout changement est très fiable. L'invocation inter-processus amplifie le signal : le réglage légitime du threadpool est toujours intra-processus. Microsoft-Windows-Threading ETW émet certaines classes mais pas toutes ; une couverture fiable demande ObRegisterCallbacks sur le type d'objet WorkerFactory ou un minifilter qui observe le syscall en noyau.

Exemples de syscalls directs

// Step 2 of the 'overwrite' variant — flip the entry point to shellcode
// after the factory was created with a benign decoy routine.
typedef struct _WORKER_FACTORY_BASIC_INFORMATION {
    LARGE_INTEGER Timeout;
    LARGE_INTEGER RetryTimeout;
    LARGE_INTEGER IdleTimeout;
    BOOLEAN       Paused;
    BOOLEAN       TimerSet;
    BOOLEAN       QueuedToExWorker;
    BOOLEAN       MayCreate;
    BOOLEAN       CreateInProgress;
    BOOLEAN       InsertedIntoQueue;
    BOOLEAN       Shutdown;
    ULONG         BindingCount;
    ULONG         ThreadMinimum;
    ULONG         ThreadMaximum;
    ULONG         PendingWorkerCount;
    ULONG         WaitingWorkerCount;
    ULONG         TotalWorkerCount;
    ULONG         ReleaseCount;
    LONGLONG      InfiniteWaitGoal;
    PVOID         StartRoutine;
    PVOID         StartParameter;
    HANDLE        ProcessId;
    SIZE_T        StackReserve;
    SIZE_T        StackCommit;
    NTSTATUS      LastThreadCreationStatus;
} WORKER_FACTORY_BASIC_INFORMATION;

WORKER_FACTORY_BASIC_INFORMATION info = {0};
NtQueryInformationWorkerFactory(hWf, WorkerFactoryBasicInformation,
                                &info, sizeof(info), NULL);
info.StartRoutine  = pRemoteShellcode;   // hijack
info.StartParameter = NULL;
NtSetInformationWorkerFactory(hWf, WorkerFactoryBasicInformation,
                              &info, sizeof(info));

NtSetInformationWorkerFactory PROC
    mov  r10, rcx
    mov  eax, 1B1h     ; Win11 24H2 / Server 2025
    syscall
    ret
NtSetInformationWorkerFactory ENDP

Mappings MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗