NtShutdownWorkerFactory

Prototype

NTSTATUS NtShutdownWorkerFactory(
  HANDLE  WorkerFactoryHandle,
  LONG   *PendingWorkerCount
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 C7 01 00 00      mov eax, 0x1C7
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Lever le drapeau d'arrêt sur une worker factory empêche le noyau de générer de nouveaux threads mais laisse les existants se vider jusqu'à leur sortie naturelle. Le `PendingWorkerCount` renvoyé permet à l'appelant de sonder l'inactivité complète avant de fermer le port de complétion d'E/S sous-jacent. `ntdll!TppWorkerFactoryShutdown` et `RtlpThreadpoolWorkerFactoryShutdown` l'appellent ; le code utilisateur le fait rarement directement hors du démontage CRT ou de LdrShutdownProcess.

Usage courant par les malwares

Après le succès d'une exécution PoolParty et une fois le shellcode terminé, l'implant appelle souvent NtShutdownWorkerFactory pour démonter proprement le threadpool étranger — laissant moins d'artefacts qu'un `NtTerminateThread` brutal. Le même syscall peut aussi être militarisé défensivement par l'attaquant : avec les droits `WORKER_FACTORY_SHUTDOWN` sur le threadpool d'une victime, un attaquant peut paralyser ses pipelines asynchrones (pool de workers HTTP, ThreadPool .NET, dispatchers RPC) sans planter le processus — un déni de service discret. Les PoC PoolParty publics incluent le shutdown comme étape de nettoyage.

Opportunités de détection

Les appels NtShutdownWorkerFactory isolés sont bruyants lors du démontage normal — chaque sortie de processus en émet — donc l'invocation inter-processus est le signal pertinent. Couplez-le à l'événement amont NtCreateWorkerFactory : un processus qui crée une worker factory dans un autre puis l'arrête peu après est très suspect. L'object manager noyau enregistre les handles ouverts sur la WorkerFactory ; ObRegisterCallbacks peut intercepter les duplications de handle entre processus.

Exemples de syscalls directs

// Called by the loader after the shellcode signals 'done'.
LONG pending = 0;
NTSTATUS s = NtShutdownWorkerFactory(hWorkerFactory, &pending);
while (NT_SUCCESS(s) && pending > 0) {
    // Workers still draining — sleep, then re-query.
    Sleep(50);
    NtQueryInformationWorkerFactory(hWorkerFactory,
        WorkerFactoryBasicInformation,
        &basic, sizeof(basic), NULL);
    pending = basic.TotalWorkerCount;
}
NtClose(hWorkerFactory);
NtClose(hIoCompletion);

NtShutdownWorkerFactory PROC
    mov  r10, rcx
    mov  eax, 1C7h     ; Win11 24H2 / Server 2025
    syscall
    ret
NtShutdownWorkerFactory ENDP

Mappings MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗