Registry Run Keys / Startup Folder
Auf attack.mitre.org ansehen →10 Syscalls implementieren diese Technik
- NtCreateKey
Erstellt oder öffnet einen Registrierungsschlüssel — die Kernel-Primitive hinter jeder Registry-basierten Persistenz.
- NtDeleteValueKey
Entfernt einen einzelnen benannten Wert aus einem geöffneten Registry-Schlüssel, ohne den Schlüssel selbst zu löschen.
- NtSetValueKey
Schreibt einen benannten Wert in einen offenen Registrierungsschlüssel — Arbeitspferd für Run- und IFEO-Persistenz.
- NtEnumerateKey
Enumeriert Subkeys eines Registrierungsschlüssels — durchläuft AutoRun, IFEO und Services zur Persistenz-Entdeckung.
- NtRenameKey
Benennt einen bestehenden Registry-Schlüssel an Ort und Stelle um — kein Win32-Wrapper, nur über die NT-API erreichbar.
- NtRestoreKey
Überschreibt den Inhalt eines Registry-Schlüssels aus einer Hive-Datei — ersetzt Teilbäume en bloc.
- NtFlushKey
Erzwingt das Schreiben aller anstehenden Änderungen eines Registry-Schlüssels in seine Hive-Datei.
- NtNotifyChangeKey
Registriert eine asynchrone Benachrichtigung für Änderungen an einem Registry-Schlüssel und (optional) seinem Teilbaum.
- NtNotifyChangeMultipleKeys
Registriert eine einzelne Benachrichtigungsanforderung, die bei Änderung einer von mehreren Registry-Schlüsseln auslöst.
- NtCreateFile
Erstellt oder öffnet eine Datei, ein Verzeichnis, ein Gerät oder eine benannte Pipe — der erste Disk-Aufruf jedes Droppers.