NtDeleteValueKey

Prototyp

NTSTATUS NtDeleteValueKey(
  HANDLE          KeyHandle,
  PUNICODE_STRING ValueName
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 DF 00 00 00      mov eax, 0xDF
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Entfernt eine einzelne Value-Zelle aus der Wertliste des Elternschlüssels. Der Kernel löscht den zugehörigen CM_KEY_VALUE und gibt dessen Datenzelle frei — keine Soft-Deletion oder Recycle Bin. Liefert STATUS_OBJECT_NAME_NOT_FOUND, falls kein Wert mit dem Namen existiert — die Existenz eines Werts durch einen Löschversuch zu prüfen ist somit *nicht* sicher (er wird tatsächlich gelöscht). Der Win32-Wrapper RegDeleteValueW ist ein dünner Shim.

Häufige Malware-Nutzung

Anti-Forensik und *selektive* Persistenz-Cleanups. Wenn der Run-Wert des Operators neben zehn legitimen Run-Werten liegt, wäre das Löschen des ganzen `Run`-Schlüssels auffällig; NtDeleteValueKey erlaubt dem Implant, nur den eigenen Wert während eines sauberen Uninstall oder nach einem EDR-Treffer zu entfernen und die Spur zu begrenzen. Auch zur Rücknahme von Konfigurations-Manipulationen — z. B. einen Persistenz-Wert kurz vor dem Triage-Skript des SOC-Analysten löschen und danach aus einer in-memory-Kopie wiederherstellen.

Erkennungs­möglichkeiten

Hochwertig, wenn das Ziel ein *bekannter Persistenz-Pfad* ist: Sysmon Event 12 (DeleteValue) auf `HKLM\Software\Microsoft\Windows\CurrentVersion\Run\*`, `RunOnce`, `Image File Execution Options` oder einem beliebigen `HKLM\SYSTEM\CurrentControlSet\Services\<X>\ImagePath` ist außerhalb von GPO-/SCCM-Kontexten ungewöhnlich. ETW Microsoft-Windows-Kernel-Registry liefert DeleteValue mit Pfad des Elternschlüssels und Wertname. EDRs hooken CmRegisterCallbackEx → RegNtPreDeleteValueKey für günstige Sichtbarkeit. Ein Delete-then-Recreate-Paar (Event 12 gefolgt von Event 13 mit demselben Wertnamen) binnen Sekunden ist ein nahezu kanonisches Persistenz-Cleanup-Muster.

Direkte Syscall-Beispiele

// Delete only our value, leaving the host's other Run entries untouched.
UNICODE_STRING valueName;
RtlInitUnicodeString(&valueName, L"OneDriveUpdate");
NTSTATUS st = NtDeleteValueKey(hRunKey, &valueName);
if (st == STATUS_OBJECT_NAME_NOT_FOUND) {
    // Already gone; nothing to clean.
}

NtDeleteValueKey PROC
    mov  r10, rcx
    mov  eax, 0DFh
    syscall
    ret
NtDeleteValueKey ENDP

// Cargo: ntapi = "0.4", widestring = "1"
fn cleanup_persistence(h_run_key: HANDLE) {
    for name in ["OneDriveUpdate", "WinStoreHelper"] {
        let w = U16CString::from_str(name).unwrap();
        let mut us = UNICODE_STRING {
            Length: (w.len() * 2) as u16,
            MaximumLength: ((w.len() + 1) * 2) as u16,
            Buffer: w.as_ptr() as _,
        };
        unsafe { NtDeleteValueKey(h_run_key, &mut us); }
    }
}

MITRE ATT&CK-Mappings

• T1112Modify Registrymitre ↗
• T1070.009Indicator Removal: Clear Persistencemitre ↗
• T1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup Foldermitre ↗