← Zurück zum ATT&CK-Index
T1012
Query Registry
Auf attack.mitre.org ansehen →6 Syscalls implementieren diese Technik
- NtOpenKey
Öffnet einen bestehenden Registrierungsschlüssel — Kernel-Einstieg hinter RegOpenKeyEx, genutzt für SAM-, SECURITY- und Persistenz-Hives.
- NtOpenKeyEx
Erweiterte Variante von NtOpenKey mit OpenOptions — erforderlich für Symlink-Folgen und Backup-Semantik-Öffnung.
- NtQueryValueKey
Liest einen Wert aus einem Registrierungsschlüssel — die zielgerichtete Credential- und Config-Sammel-Primitive.
- NtQueryMultipleValueKey
Liest atomar mehrere Registry-Werte eines Schlüssels in einem einzigen Syscall.
- NtEnumerateKey
Enumeriert Subkeys eines Registrierungsschlüssels — durchläuft AutoRun, IFEO und Services zur Persistenz-Entdeckung.
- NtQueryKey
Liefert Metadaten zu einem geöffneten Registry-Schlüssel — Name, Klasse, Anzahl Unterschlüssel/Werte, letzte Änderung.