NtLoadKey2

Prototyp

NTSTATUS NtLoadKey2(
  POBJECT_ATTRIBUTES TargetKey,
  POBJECT_ATTRIBUTES SourceFile,
  ULONG              Flags
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 11 01 00 00      mov eax, 0x111
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

`NtLoadKey2` ist ein dünner, veralteter Wrapper, eingeführt mit Windows 2000 / XP, der auf denselben Kernel-Pfad wie `NtLoadKey`/`NtLoadKeyEx` weiterleitet (`CmLoadKey` in `ntoskrnl.exe`). Er akzeptiert nur das veraltete `Flags`-Argument und hat keine modernen Parameter wie `TrustClassKey`, `Event`, `TokenHandle` und `IoPriority` von `NtLoadKeyEx`. Microsoft sieht ihn als abgelöst, der Export ist jedoch in jeder ausgelieferten ntdll bis einschließlich 24H2 vorhanden, und die SSN zeigt weiterhin auf einen echten Handler — genau die Art veraltet-aber-aufrufbarer Ecke, die Angreifer schätzen, weil Hooks und EDR-Regeln sie oft vergessen.

Häufige Malware-Nutzung

Offline-Credential-Dump-Tradecraft: `secretsdump`-artige Angreifer kopieren einen Opfer-Hive (SAM, SYSTEM, SECURITY) per VSS / raw NTFS und mounten ihn dann unter einem beliebigen Schlüssel mit `NtLoadKey`/`NtLoadKey2`, um ihn über die üblichen `RegOpenKeyEx`/`NtOpenKey`-APIs zu enumerieren, ohne das Binärformat selbst zu parsen. `NtLoadKey2` wird erreicht, wenn ein Operator das offensichtliche `RegLoadKeyW` (das auf `NtLoadKeyEx` routet) bewusst gegen die ältere Variante austauscht, um naive Hook-Listen zu umgehen. Benötigt `SeRestorePrivilege` und `SeBackupPrivilege` — also lokalen Administrator.

Erkennungs­möglichkeiten

Jeder Aufruf von `NtLoadKey*` aus einem Nicht-Microsoft-Binary ist ein starkes Signal — legitime Konsumenten sind im Wesentlichen `regedit.exe`, `reg.exe`, `appidcertstorecheck.exe`, der User-Profile-Loader und eine Handvoll Imaging-Tools. Sysmon Event ID 12/13/14 (Registry) feuert **nicht** für Hive-Loads — der Kernel emittiert nur über den ETW-Provider `Microsoft-Windows-Kernel-Registry` (Event ID 9 = HiveLoaded). EDRs, die das Aktivieren von `SeRestorePrivilege` zusammen mit Hive-Öffnungen von `\??\...\config\SAM` korrelieren, erwischen das kanonische SAM-Dump-Muster; das Datei-Open ist meist der bessere Tripwire als der Syscall selbst.

Direkte Syscall-Beispiele

; Direct syscall stub for NtLoadKey2 (SSN 0x111 on Win11 24H2)
NtLoadKey2 PROC
    mov  r10, rcx          ; TargetKey
    mov  eax, 111h         ; SSN — drifts per build
    syscall
    ret
NtLoadKey2 ENDP

// Requires SeRestorePrivilege + SeBackupPrivilege enabled on the caller.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtLoadKey2)(POBJECT_ATTRIBUTES, POBJECT_ATTRIBUTES, ULONG);

NTSTATUS MountHive(LPCWSTR ntMountPath, LPCWSTR ntHiveFile) {
    UNICODE_STRING uMount, uFile;
    OBJECT_ATTRIBUTES oaMount, oaFile;
    RtlInitUnicodeString(&uMount, ntMountPath);   // e.g. L"\\REGISTRY\\USER\\OfflineSAM"
    RtlInitUnicodeString(&uFile,  ntHiveFile);    // e.g. L"\\??\\C:\\temp\\SAM_copy"
    InitializeObjectAttributes(&oaMount, &uMount, OBJ_CASE_INSENSITIVE, NULL, NULL);
    InitializeObjectAttributes(&oaFile,  &uFile,  OBJ_CASE_INSENSITIVE, NULL, NULL);
    pNtLoadKey2 fn = (pNtLoadKey2)GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtLoadKey2");
    return fn(&oaMount, &oaFile, 0x4 /* REG_NO_LAZY_FLUSH */);
}

MITRE ATT&CK-Mappings

• T1003.002OS Credential Dumping: Security Account Managermitre ↗
• T1106Native APImitre ↗