NtOpenKey

Prototyp

NTSTATUS NtOpenKey(
  PHANDLE            KeyHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 12 00 00 00      mov eax, 0x12
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Die minimal-argumentige Registry-Öffnung — drei Argumente, SSN `0x12` seit den NT-Anfängen. Der NT-Registry-Namespace liegt unter `\Registry`, `\Registry\Machine` ist HKLM und `\Registry\User\<SID>` sind die Benutzer-Hives; advapi32's `RegOpenKeyEx` schreibt vordefinierte `HKEY_*`-Handles vor dem NtOpenKey-Aufruf in diese Pfade um. Es gibt keinen `OpenOptions`-Parameter — dafür braucht es `NtOpenKeyEx`. Wer SAM/SECURITY lesen will, muss zuerst SYSTEM impersonieren (`NtOpenProcessToken` auf lsass + `NtDuplicateToken` + `SetThreadToken`), weil die Hive-DACL Administratoren standardmäßig ausschließt.

Häufige Malware-Nutzung

Tor zum **Registry-Credential-Dumping**. Kanonische Ketten: (a) **T1003.002 SAM-Hive** — `\Registry\Machine\SAM\SAM\Domains\Account\Users\Names\<user>` öffnen, um Konten zu enumerieren, dann `\...\Users\<RID>\V` für den verschlüsselten Hash durchgehen, entschlüsselt mit dem BootKey aus vier `Class`-Attributen unter `\Registry\Machine\System\CurrentControlSet\Control\Lsa\{JD,Skew1,GBG,Data}`; (b) **T1003.004 LSA-Secrets** — `\Registry\Machine\SECURITY\Policy\Secrets\*\CurrVal` öffnen für gecachte Service-Account-Passwörter und DPAPI-Domain-Backup-Keys; (c) **Persistenz-Enumeration** — Run-Keys, IFEO, AppInit_DLLs, Winlogon Notify, Services-Hive öffnen. Mimikatz' `lsadump::sam` und `lsadump::secrets` führen genau diesen Pfad aus, ebenso `secretsdump.py` aus Impacket und `reg.exe save HKLM\SAM <file>` mit anschließendem Offline-Parsing.

Erkennungs­möglichkeiten

Microsoft-Windows-Kernel-Registry-ETW (`{70EB4F03-C1DE-4F73-A051-33D13D5413BD}`) emittiert ein Event pro Registry-Open mit vollem Pfad, anfragender PID und Access-Mask. Sysmon Event ID 12 (RegistryEvent CreateKey/SetKey) und 13 (SetValue) decken Schreibvorgänge; **die Leseseite erfordert explizite Sysmon-RegistryEvent-type=CreateKey-Filter auf `HKLM\SAM`, `HKLM\SECURITY`, `HKLM\Security\Policy\Secrets`** — das sind die hochwertigsten Dump-Indikatoren. EDRs hooken `NtOpenKey`/`NtOpenKeyEx` im Kernel via `CmRegisterCallbackEx` (RegNtPreOpenKeyEx / RegNtPostOpenKey-Benachrichtigungen). Defenders ASR-Regel „Block credential stealing from lsass.exe" erhöht indirekt die Kosten des LSA-Token-Diebstahl-Preludes. Jeden Nicht-LSASS-/Nicht-svchost-Prozess jagen, der `\Registry\Machine\SAM` oder `\Registry\Machine\SECURITY` öffnet.

Direkte Syscall-Beispiele

UNICODE_STRING name;
RtlInitUnicodeString(&name,
    L"\\Registry\\Machine\\Software\\Microsoft\\Windows\\CurrentVersion\\Run");

OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE hKey = NULL;
NTSTATUS s = NtOpenKey(&hKey, KEY_QUERY_VALUE | KEY_ENUMERATE_SUB_KEYS, &oa);

NtOpenKey PROC
    mov  r10, rcx
    mov  eax, 12h
    syscall
    ret
NtOpenKey ENDP

use ntapi::ntregapi::NtOpenKey;
use ntapi::ntrtl::RtlInitUnicodeString;
use winapi::shared::ntdef::{HANDLE, OBJECT_ATTRIBUTES, OBJ_CASE_INSENSITIVE, UNICODE_STRING};

pub unsafe fn open_key(path: *const u16, access: u32) -> Option<HANDLE> {
    let mut us: UNICODE_STRING = core::mem::zeroed();
    RtlInitUnicodeString(&mut us, path);
    let mut oa = OBJECT_ATTRIBUTES {
        Length: core::mem::size_of::<OBJECT_ATTRIBUTES>() as u32,
        RootDirectory: core::ptr::null_mut(),
        ObjectName: &mut us,
        Attributes: OBJ_CASE_INSENSITIVE,
        SecurityDescriptor: core::ptr::null_mut(),
        SecurityQualityOfService: core::ptr::null_mut(),
    };
    let mut h: HANDLE = core::ptr::null_mut();
    if NtOpenKey(&mut h, access, &mut oa) == 0 { Some(h) } else { None }
}

MITRE ATT&CK-Mappings

• T1003.002OS Credential Dumping: Security Account Managermitre ↗
• T1003.004OS Credential Dumping: LSA Secretsmitre ↗
• T1012Query Registrymitre ↗
• T1106Native APImitre ↗