NtDeleteKey

Prototyp

NTSTATUS NtDeleteKey(
  HANDLE KeyHandle
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 DC 00 00 00      mov eax, 0xDC
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Einargumentiger Syscall, aber mit subtiler Semantik: der Key wird zur Löschung *markiert* und erst beim Schließen des Handles tatsächlich entfernt — gleichzeitige Leser behalten Zugriff, bis sie ihre Handles freigeben. Der Key muss **Leaf** sein (keine Subkeys), sonst liefert der Aufruf `STATUS_CANNOT_DELETE`; Defense-Evasion-Tools, die einen Baum aufräumen, müssen depth-first rekursieren, abwechselnd `NtEnumerateKey` und `NtDeleteKey` von unten nach oben. Die SSN driftet über Builds spürbar (0xC5 auf 1507 → 0xDC auf 24H2), dynamische Auflösung ist Pflicht.

Häufige Malware-Nutzung

Reine **Defense Evasion (T1112 + T1070)**. Zwei wiederkehrende Muster. (1) **Persistenz-Cleanup nach Ausführung**: Sobald die Payload abgesetzt ist oder der Autorun nicht mehr gebraucht wird, entfernt das Implant seinen eigenen Run-/RunOnce-/IFEO-/Scheduled-Task-Cache-Footprint, um die forensische Rekonstruktion zu sabotieren. Self-Destruct-Stubs feuern typischerweise `NtDeleteKey` auf `\Registry\Machine\Software\Microsoft\Windows\CurrentVersion\Run\<implant>` und auf den zuvor gesetzten COM-CLSID-Hijack-Key. (2) **Indirekte Event-Log-Manipulation (T1070.001)**: Während der kanonische Angriff `wevtutil cl` oder ein EventLog-Service-Stop ist, nullen mehrere Stealer (LummaC2-Varianten, Atomic Stealer Win-Port) stattdessen die Audit-Subscription-Keys unter `\Registry\Machine\System\CurrentControlSet\Services\EventLog\Security\Channels\*` via NtDeleteKey und brechen so nachfolgendes Logging, ohne das auffällige Event-ID 1102 (Audit Log Cleared) auszulösen.

Erkennungs­möglichkeiten

Microsoft-Windows-Kernel-Registry-ETW emittiert ein Delete-Event mit vollem Pfad und PID. Sysmon Event ID 12 mit type=DeleteKey ist der direkte Catch. Entscheidend: ein EDR, der `CmRegisterCallbackEx` registriert, erhält `RegNtPreDeleteKey`- und `RegNtPostDeleteKey`-Benachrichtigungen auch dann, wenn User-Mode-Hooks per direktem Syscall umgangen werden — Kernel-Callbacks sehen die Operation post-dispatch. Hochwertige Hunts: Löschung jedes Pfades unter `\Microsoft\Windows\CurrentVersion\Run*`, `\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*`, `\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\*` oder `\Services\EventLog\*`. Defender's Tamper Protection markiert Writes/Deletes auf AV-relevanten Registry-Bäumen; Korrelation mit dem ursprünglichen CreateKey/SetValue desselben SHA-256-Image-Hashs liefert einen End-to-End-Graphen Staging→Cleanup.

Direkte Syscall-Beispiele

// Open the value's parent key with DELETE access, then NtDeleteKey on the leaf.
UNICODE_STRING name;
RtlInitUnicodeString(&name,
    L"\\Registry\\Machine\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\Updater");

OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE hKey = NULL;
if (NT_SUCCESS(NtOpenKey(&hKey, DELETE, &oa))) {
    NtDeleteKey(hKey);     // marks for deletion
    NtClose(hKey);          // actually deletes
}

; SSN drifts heavily; resolve dynamically before targeting multiple builds.
NtDeleteKey PROC
    mov  r10, rcx
    mov  eax, 0DCh         ; Win11 24H2
    syscall
    ret
NtDeleteKey ENDP

use ntapi::ntregapi::{NtDeleteKey, NtEnumerateKey, NtOpenKey, KEY_BASIC_INFORMATION};
use winapi::shared::ntdef::HANDLE;

pub unsafe fn delete_tree(h_root: HANDLE) {
    let mut buf = vec![0u8; 0x400];
    let mut len = 0u32;
    loop {
        let s = NtEnumerateKey(
            h_root, 0,
            0 /* KeyBasicInformation */,
            buf.as_mut_ptr() as *mut _, buf.len() as u32, &mut len);
        if s != 0 { break; }
        let bi = &*(buf.as_ptr() as *const KEY_BASIC_INFORMATION);
        // open subkey here, recurse, then delete the leaf
    }
    NtDeleteKey(h_root);
}

MITRE ATT&CK-Mappings

• T1112Modify Registrymitre ↗
• T1070.001Indicator Removal: Clear Windows Event Logsmitre ↗
• T1070.009Indicator Removal: Clear Persistencemitre ↗
• T1106Native APImitre ↗