NtWorkerFactoryWorkerReady

Prototype

NTSTATUS NtWorkerFactoryWorkerReady(
  HANDLE  WorkerFactoryHandle
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 01 00 00 00      mov eax, 0x1
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Le numéro de syscall le plus stable de toute la table — `0x1` depuis Windows 7. Il est appelé exclusivement par `ntdll!TppWorkerThread` (la StartRoutine canonique de toute worker factory) et dit au noyau : « ce worker a terminé son dispatch précédent, décrémente mon compteur de pendings, je retourne dans NtWaitForWorkViaWorkerFactory ». La comptabilité qu'il effectue permet au noyau de décider s'il faut générer plus de workers, retirer les inactifs, ou maintenir le compte stable.

Usage courant par les malwares

Quasiment jamais appelé directement par les malwares — il fait partie de la comptabilité interne du threadpool et n'a de sens que dans le contexte d'une vraie boucle `TppWorkerThread`. Exception : les variantes PoolParty où le shellcode lui-même émule le handshake worker pour garder la comptabilité du threadpool cohérente (et donc le processus parent réactif) après détournement d'un worker. Sauter le cycle ready/wait/release fait dériver `PendingWorkerCount` côté noyau, ce qui peut affamer le reste du threadpool de la victime — observable comme une application figée.

Opportunités de détection

Indétectable de façon isolée — chaque processus Windows ayant un CRT, un runtime .NET ou un apartment COM en émet des milliers par seconde. La détection ne devient possible que quand il est *manquant* : une worker factory dont le compteur ready ne s'incrémente jamais alors que son port de complétion est vidé indique que quelque chose contourne le handshake (un shellcode PoolParty qui a oublié d'émuler la boucle, ou un débogueur retenant un worker). C'est une heuristique, pas un signal primaire.

Exemples de syscalls directs

// Approximate reverse of the user-mode loop driven by NtCreateWorkerFactory.
// Do NOT call directly — this is what TppWorkerThread does on every worker.
VOID WINAPI TppWorkerThreadLike(PVOID context) {
    HANDLE hWf = ((PTHREADPOOL_INTERNAL)context)->WorkerFactoryHandle;
    for (;;) {
        FILE_IO_COMPLETION_INFORMATION info;
        NTSTATUS s = NtWaitForWorkViaWorkerFactory(hWf, &info);
        if (!NT_SUCCESS(s)) break;
        // Dispatch the callback that info.KeyContext encodes.
        DispatchCallback(&info);
        // Tell the kernel we're done and ready for the next item.
        NtWorkerFactoryWorkerReady(hWf);
    }
}

; Stable across every Windows 10/11 build.
NtWorkerFactoryWorkerReady PROC
    mov  r10, rcx
    mov  eax, 1
    syscall
    ret
NtWorkerFactoryWorkerReady ENDP

Mappings MITRE ATT&CK

• T1106Native APImitre ↗