NtCompressKey

Prototyp

NTSTATUS NtCompressKey(
  HANDLE Key
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 A3 00 00 00      mov eax, 0xA3
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

`NtCompressKey` ist eine Wartungsprimitive, die die On-Disk-Hive-Datei zum übergebenen Schlüssel neu schreibt, um durch gelöschte Zellen entstandenen Speicherplatz zurückzugewinnen. Es ist das Kernel-Pendant dessen, was `regedit` beim Import-Compact-Angebot tut. Die Implementierung in `ntoskrnl.exe` (`CmpCompressKey` → `CmpDoCompressKey`) durchläuft die Cell-Map, baut eine neue zusammenhängende Hive-Datei, fsynct sie und tauscht atomar um. Kein öffentlicher Win32-Wrapper — Konsumenten müssen `GetProcAddress("NtCompressKey")` aus `ntdll.dll` holen.

Häufige Malware-Nutzung

Praktisch kein offensives Signal. Der Syscall liest, schreibt oder exponiert Hive-Inhalte in keiner für Angreifer nützlichen Weise und braucht ein beschreibbares Handle auf einen bereits geladenen Hive — wer das hat, hat ohnehin vollen Lese-/Schreibzugriff. Gelegentlich in Red-Team-Tooling als *Cleanup* — nachdem ein Angreifer einen Offline-Hive geladen, Daten gesammelt und temporäre Schlüssel hinterlassen hat, schrumpft ein abschließendes `NtCompressKey` die Datei, damit Post-Incident-Reviewer keinen übergroßen Hive bemerken. Höchstens eine Anti-Forensik-Kuriosität.

Erkennungs­möglichkeiten

Allein nicht detektionswürdig — das Volumen an False Positives von legitimen Registry-Wartungs-Tools (`regedit /a`, Drittanbieter-Compactor, manche OEM-Imaging-Utilities) ertränkt das Signal. Falls nötig: Der ETW-Provider `Microsoft-Windows-Kernel-Registry` emittiert ein HiveCompression-Event, und `Microsoft-Windows-Kernel-File` zeigt die temporäre `.compress` / `.tmp`-Hive-Datei neben dem Original. Sysmon zeigt das nicht direkt.

Direkte Syscall-Beispiele

; Direct syscall stub for NtCompressKey (SSN 0xA3 on Win11 24H2)
NtCompressKey PROC
    mov  r10, rcx          ; Key
    mov  eax, 0A3h         ; SSN — drifts per build
    syscall
    ret
NtCompressKey ENDP

// No public Win32 wrapper — resolve from ntdll directly.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtCompressKey)(HANDLE);

NTSTATUS CompactHive(HKEY hMountedHiveRoot) {
    pNtCompressKey fn = (pNtCompressKey)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtCompressKey");
    return fn ? fn((HANDLE)hMountedHiveRoot) : STATUS_NOT_IMPLEMENTED;
}

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗