NtFreezeRegistry

Prototyp

NTSTATUS NtFreezeRegistry(
  ULONG TimeOutInSeconds
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 F7 00 00 00      mov eax, 0xF7      ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

`NtFreezeRegistry` legt den Configuration Manager still (`CmpRegistryFreeze`): neue Schreiber werden angehalten und ausstehende Lazy-Flushes abgeschlossen, sodass die Hives auf der Platte für die Dauer des Einfrierens kohärent sind. Das einzelne Argument ist ein Sicherheits-Timeout — stürzt der Aufrufer (oder ein gestarteter Hilfsprozess) ohne `NtThawRegistry`-Aufruf ab, taut der Kernel nach `TimeOutInSeconds` automatisch wieder auf, um das System nutzbar zu halten. Erfordert `SeBackupPrivilege`. Der vorgesehene Konsument ist der Volume-Shadow-Copy-Service-(VSS-)Writer für die Registry (Registry-Writer in `%SystemRoot%\System32\Vssapi.dll`), der die Registry einfriert, das Hive-Volume snapshottet und wieder auftaut.

Häufige Malware-Nutzung

Schwaches In-the-Wild-Signal — es ist keine öffentlich dokumentierte Commodity-Malware-Familie bekannt, die `NtFreezeRegistry` direkt aufruft. Forschungsnahe Missbrauchsszenarien existieren: (1) kurzer Denial-of-Service gegen Monitoring-Tools, die die Registry pollen (Sysmon, AV-Selbstschutz), (2) Gewinnen eines TOCTTOU-Rennens gegen ein EDR, das Run-Keys periodisch scannt, durch Einfrieren der Registry über den Schreibmoment hinweg, (3) Sicherstellen, dass ein Registry-Persistenz-Payload vor der Snapshot-Erfassung atomar auf die Platte committet wird. Alles erfordert `SeBackupPrivilege`, also High-Integrity / Admin — somit eine Post-Exploitation-Primitive, kein Initial-Access.

Erkennungs­möglichkeiten

Direkte Aufrufe außerhalb von VSSVC.exe / SystemWriter und einer Handvoll Backup-Produkten (Veeam, Acronis, Veritas, Commvault) sind extrem ungewöhnlich. ETW Microsoft-Windows-Kernel-Registry loggt Freeze/Thaw nicht nativ, aber Microsoft-Windows-VolumeSnapshot-Driver und das VSS-Anwendungslog (`Microsoft-Windows-VSS/Operational`) protokollieren die Orchestrierung. Sysmon-Event 1 (Prozesserzeugung) mit einem unerwarteten Binary, das `SeBackupPrivilege` hält und unmittelbar danach die Registry einfriert, ist ein starkes Indiz. Mit Überwachung auf ein im Timeout-Fenster fehlendes `NtThawRegistry` kombinieren.

Direkte Syscall-Beispiele

// Requires SeBackupPrivilege already enabled in the token.
NTSTATUS Snapshot(void) {
    NTSTATUS st = NtFreezeRegistry(60);     // auto-thaw safety: 60s
    if (!NT_SUCCESS(st)) return st;

    // ... take volume snapshot of the hive partition here ...

    return NtThawRegistry();
}

; NtFreezeRegistry direct syscall (Win11 24H2 SSN 0xF7)
NtFreezeRegistry PROC
    mov  r10, rcx           ; TimeOutInSeconds
    mov  eax, 0F7h
    syscall
    ret
NtFreezeRegistry ENDP

MITRE ATT&CK-Mappings

• T1562.001Impair Defenses: Disable or Modify Toolsmitre ↗
• T1106Native APImitre ↗