Modify Registry
Auf attack.mitre.org ansehen →11 Syscalls implementieren diese Technik
- NtCreateKey
Erstellt oder öffnet einen Registrierungsschlüssel — die Kernel-Primitive hinter jeder Registry-basierten Persistenz.
- NtDeleteKey
Löscht einen Registrierungsschlüssel beim Schließen des Handles — wird verwendet, um Persistenz und Audit-Key-Artefakte nach Ausführung zu beseitigen.
- NtDeleteValueKey
Entfernt einen einzelnen benannten Wert aus einem geöffneten Registry-Schlüssel, ohne den Schlüssel selbst zu löschen.
- NtSetValueKey
Schreibt einen benannten Wert in einen offenen Registrierungsschlüssel — Arbeitspferd für Run- und IFEO-Persistenz.
- NtRenameKey
Benennt einen bestehenden Registry-Schlüssel an Ort und Stelle um — kein Win32-Wrapper, nur über die NT-API erreichbar.
- NtUnloadKey
Hängt einen zuvor geladenen Registry-Hive vom Konfigurationsmanager ab.
- NtRestoreKey
Überschreibt den Inhalt eines Registry-Schlüssels aus einer Hive-Datei — ersetzt Teilbäume en bloc.
- NtFlushKey
Erzwingt das Schreiben aller anstehenden Änderungen eines Registry-Schlüssels in seine Hive-Datei.
- NtNotifyChangeKey
Registriert eine asynchrone Benachrichtigung für Änderungen an einem Registry-Schlüssel und (optional) seinem Teilbaum.
- NtNotifyChangeMultipleKeys
Registriert eine einzelne Benachrichtigungsanforderung, die bei Änderung einer von mehreren Registry-Schlüsseln auslöst.
- NtSetSecurityObject
Schreibt einen neuen SECURITY_DESCRIPTOR (Owner / DACL / SACL / Label) auf ein Kernel-Objekt anhand des Handles.