NtOpenKeyEx

Prototyp

NTSTATUS NtOpenKeyEx(
  PHANDLE            KeyHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  ULONG              OpenOptions
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 2B 01 00 00      mov eax, 0x12B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtOpenKeyEx = `NtOpenKey + OpenOptions`. Offensiv relevant sind nur zwei Optionen: `REG_OPTION_BACKUP_RESTORE` (`0x4`) — der Configuration Manager überspringt die DACL-Prüfung und nutzt stattdessen `SeBackupPrivilege`/`SeRestorePrivilege` des Aufrufers — und `REG_OPTION_OPEN_LINK` (`0x8`) — öffnet einen Symlink-Key, ohne dem Ziel zu folgen, was Auditing von Umleitungen erlaubt. Die SSN driftet stark über Builds, weil benachbarte Syscalls hinzu-/abgenommen wurden: Win10 1909 = 0x11B, Win10 22H2 = 0x121, Win11 24H2 = 0x12B. Hartkodierte SSNs sind hier sehr fragil — Hell's Gate / Halo's Gate ist Pflicht für Multi-Build-Support.

Häufige Malware-Nutzung

Zwei klar getrennte offensive Muster. (1) **Privileg-vermittelter Hive-Zugriff**: Mit aktivem `SeBackupPrivilege` (gewährt für Administrators und Backup Operators) umgeht Öffnen mit `REG_OPTION_BACKUP_RESTORE` die DACL auf `\Registry\Machine\SAM` und `\Registry\Machine\SECURITY` ohne SYSTEM-Impersonation — genau das macht `reg.exe save HKLM\SAM` intern, und davon hängen die meisten modernen SAM-Dumper ab (CrackMapExec/NetExec Local-SAM-Modul, `secretsdump.py -local-auth`). (2) **Symlink-bewusste Persistenz**: APT-Implants kombinieren `NtOpenKeyEx` mit `REG_OPTION_OPEN_LINK`, um eigene oder vorgefundene Registry-Symlinks zu inspizieren (IFEO auf Angreifer-Keys umgeleitet, COM-CLSIDs nach HKCU symlinked). Forensik-Tools auditieren mit demselben Flag.

Erkennungs­möglichkeiten

Gleiche Provider wie NtOpenKey — Microsoft-Windows-Kernel-Registry-ETW protokolliert jedes Open mit PID und Access. Der Fingerabdruck von `REG_OPTION_BACKUP_RESTORE` ist sichtbar: der Aufrufer muss `SeBackupPrivilege` *aktiviert* haben, was Sysmon Event ID 4673 (Sensitive Privilege Use) bei Nutzung protokolliert — `SeBackupPrivilege`-Nutzung gepaart mit nachfolgendem Öffnen von `\Registry\Machine\SAM` oder `\Registry\Machine\SECURITY` ergibt ein hochwertiges SAM-Dump-Signal. EDRs, die `CmRegisterCallbackEx` registrieren, sehen den OpenOptions-Wert in `RegNtPreOpenKeyEx`. Die Sysmon-Regel `RegistryEvent` `Sensitive Registry Object` aus SwiftOnSecuritys Template fängt das. Die Audit-Unterkategorie „Sensitive Privilege Use" (4673/4674) gefiltert auf `SeBackupPrivilege` ist die billigste Baseline.

Direkte Syscall-Beispiele

// Caller must first enable SeBackupPrivilege in its token.
#define REG_OPTION_BACKUP_RESTORE 0x00000004

UNICODE_STRING name;
RtlInitUnicodeString(&name, L"\\Registry\\Machine\\SAM");

OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE hKey = NULL;
NTSTATUS s = NtOpenKeyEx(&hKey, KEY_READ, &oa,
                         REG_OPTION_BACKUP_RESTORE);

; SSN drifts across builds — resolve dynamically when targeting multiple.
NtOpenKeyEx PROC
    mov  r10, rcx
    mov  eax, 12Bh         ; Win11 24H2
    syscall
    ret
NtOpenKeyEx ENDP

use ntapi::ntregapi::NtOpenKeyEx;
use ntapi::ntrtl::RtlInitUnicodeString;
use winapi::shared::ntdef::{HANDLE, OBJECT_ATTRIBUTES, OBJ_CASE_INSENSITIVE, UNICODE_STRING};

const REG_OPTION_OPEN_LINK: u32 = 0x0000_0008;

pub unsafe fn open_link(path: *const u16) -> Option<HANDLE> {
    let mut us: UNICODE_STRING = core::mem::zeroed();
    RtlInitUnicodeString(&mut us, path);
    let mut oa = OBJECT_ATTRIBUTES {
        Length: core::mem::size_of::<OBJECT_ATTRIBUTES>() as u32,
        RootDirectory: core::ptr::null_mut(),
        ObjectName: &mut us,
        Attributes: OBJ_CASE_INSENSITIVE,
        SecurityDescriptor: core::ptr::null_mut(),
        SecurityQualityOfService: core::ptr::null_mut(),
    };
    let mut h: HANDLE = core::ptr::null_mut();
    if NtOpenKeyEx(&mut h, 0x20019 /* KEY_READ */, &mut oa, REG_OPTION_OPEN_LINK) == 0 {
        Some(h)
    } else { None }
}

MITRE ATT&CK-Mappings

• T1003.002OS Credential Dumping: Security Account Managermitre ↗
• T1003.004OS Credential Dumping: LSA Secretsmitre ↗
• T1012Query Registrymitre ↗
• T1134Access Token Manipulationmitre ↗