NtCreateKey

Prototyp

NTSTATUS NtCreateKey(
  PHANDLE            KeyHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  ULONG              TitleIndex,
  PUNICODE_STRING    Class,
  ULONG              CreateOptions,
  PULONG             Disposition
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 1D 00 00 00      mov eax, 0x1D
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

`0x1D` ist die SSN seit Windows 7 und bis Win11 24H2 unverändert — eine der zuverlässigsten hartkodierten Nummern. Der Aufruf läuft über CmpCallCallBacksEx und CmCreateKey im Configuration Manager (CM_KEY_BODY-Allokation). Da der ObjectAttributes-Pfad im NT-Objektnamensraum (`\Registry\Machine\...`, `\Registry\User\<SID>\...`) geparst wird, nutzen Implants ihn direkt, um die Pfadübersetzungs-Hooks der EDRs auf advapi32!RegCreateKeyEx zu umgehen.

Häufige Malware-Nutzung

Persistenz ist der dominante Anwendungsfall. Angreifer legen Unterschlüssel unter `HKLM\Software\Microsoft\Windows\CurrentVersion\Run`, `HKCU\...\Run`, `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon` (Shell/Userinit/AppInit_DLLs), `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<ziel.exe>` (Debugger-Value-Hijack) und `HKLM\System\CurrentControlSet\Services\<name>` für Dienst-Persistenz an. Direkter Aufruf von NtCreateKey umgeht alle User-Mode-Hooks auf advapi32 und vermeidet Artefakte vom Typ CreateRemoteThread.

Erkennungs­möglichkeiten

Der ETW-Provider Microsoft-Windows-Kernel-Registry (`{70EB4F03-C1DE-4F73-A051-33D13D5413BD}`) feuert `EventCreateKey` (Opcode 10) inklusive vollem Pfad und Erzeuger-PID — die hochwertigste Detection-Quelle und vom User-Mode aus nicht zu verbergen. Sysmon Event ID 12 (RegistryEvent: CreateKey / DeleteKey) erfasst dasselbe auf Endpunkten ohne Defender for Endpoint. Besonders zu jagen: Autostart-Keys, IFEO-Unterschlüssel auf gängige LOLBins (`mmc.exe`, `taskmgr.exe`, `osk.exe`) und neue `Services\`-Einträge mit ImagePath außerhalb von `\SystemRoot\System32\`. EDR-Hooks auf advapi32!RegCreateKeyEx werden leicht umgangen; Kernel-ETW nicht.

Direkte Syscall-Beispiele

// Open / create HKCU\Software\Microsoft\Windows\CurrentVersion\Run via Nt path.
// Pair with NtSetValueKey to drop a persistence entry.
UNICODE_STRING path;
RtlInitUnicodeString(&path,
    L"\\Registry\\User\\<SID>\\Software\\Microsoft\\Windows\\CurrentVersion\\Run");

OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &path, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE hKey = NULL;
ULONG disposition = 0;
NTSTATUS s = NtCreateKey(&hKey, KEY_SET_VALUE, &oa,
                        0, NULL, REG_OPTION_NON_VOLATILE, &disposition);

NtCreateKey PROC
    mov  r10, rcx
    mov  eax, 1Dh
    syscall
    ret
NtCreateKey ENDP

// Cargo: ntapi = "0.4", winapi = { version = "0.3", features = ["winnt"] }
use ntapi::ntregapi::NtCreateKey;
use ntapi::ntrtl::RtlInitUnicodeString;
use winapi::shared::ntdef::{OBJECT_ATTRIBUTES, OBJ_CASE_INSENSITIVE, UNICODE_STRING};
use winapi::um::winnt::{KEY_SET_VALUE, REG_OPTION_NON_VOLATILE};
use std::ptr::null_mut;

pub unsafe fn open_run_key(sid_path: *const u16) -> *mut core::ffi::c_void {
    let mut us: UNICODE_STRING = core::mem::zeroed();
    RtlInitUnicodeString(&mut us, sid_path);
    let mut oa = OBJECT_ATTRIBUTES {
        Length: core::mem::size_of::<OBJECT_ATTRIBUTES>() as u32,
        RootDirectory: null_mut(),
        ObjectName: &mut us,
        Attributes: OBJ_CASE_INSENSITIVE,
        SecurityDescriptor: null_mut(),
        SecurityQualityOfService: null_mut(),
    };
    let mut h = null_mut();
    let mut disp = 0u32;
    NtCreateKey(&mut h, KEY_SET_VALUE, &mut oa, 0,
                null_mut(), REG_OPTION_NON_VOLATILE, &mut disp);
    h
}

MITRE ATT&CK-Mappings

• T1547.001Registry Run Keys / Startup Foldermitre ↗
• T1546.012Image File Execution Options Injectionmitre ↗
• T1112Modify Registrymitre ↗