NtQueryMultipleValueKey

Prototyp

NTSTATUS NtQueryMultipleValueKey(
  HANDLE              KeyHandle,
  PKEY_VALUE_ENTRY    ValueEntries,
  ULONG               EntryCount,
  PVOID               ValueBuffer,
  PULONG              BufferLength,
  PULONG              RequiredBufferLength
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 61 01 00 00      mov eax, 0x161     ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Backing-Syscall für `RegQueryMultipleValuesW`. Der Kernel durchläuft die Wertliste des Schlüssels einmal, holt alle angefragten Werte unter einem einzigen Hive-Lock in einen einzigen gepackten Puffer und gibt Offsets zurück — strikt schneller als N aufeinanderfolgende `NtQueryValueKey`-Aufrufe und, wichtiger, *atomar* gegenüber gleichzeitigen Schreibern. Jeder `KEY_VALUE_ENTRY` ist `{ ValueName, DataLength, DataOffset, Type }`; der Aufrufer befüllt `ValueName` (ein `UNICODE_STRING*`), der Kernel die anderen drei.

Häufige Malware-Nutzung

Credential-Harvesting- und Reconnaissance-Tools, die strukturierte Schlüssel ins Visier nehmen, profitieren von der Atomarität. Das Schulbeispiel sind PuTTY-Sitzungen unter `HKCU\Software\SimonTatham\PuTTY\Sessions\<Name>` — `HostName`, `UserName`, `PortNumber`, `Protocol`, `PublicKeyFile` und `ProxyHost` lassen sich in einem einzigen Aufruf abziehen, was verhindert, dass der Benutzer die Sitzung mitten im Lesen rotiert. WinSCP, FileZilla INI/XML-Fallbacks und PowerShell-ISE-History-Pfade in HKCU zeigen ähnliche Formen. Es ist außerdem ein etwas seltener gehookter Pfad als `RegQueryValueExW`, was gegen EDRs, die advapi32 instrumentieren, aber keine direkten ntdll-Aufrufe, einen marginalen Evasions-Gewinn bringen kann.

Erkennungs­möglichkeiten

Das Aufrufvolumen von `NtQueryMultipleValueKey` ist im Vergleich zu `NtQueryValueKey` sehr gering, was ihn relativ signalstark macht. ETW Microsoft-Windows-Kernel-Registry emittiert auch für den Multi-Wert-Pfad `EventID 4` (QueryValueKey) *pro Wert*, sodass bestehende Erkennungen, die auf Zugriffe auf `Software\SimonTatham\PuTTY` oder `Software\Martin Prikryl` reagieren, weiterhin auslösen. Sysmon-Events 12/13 zeigen Schlüsselöffnungen gegen Credential-Pfade. Prozesskorrelationsregeln (`powershell.exe`/`rundll32.exe`/unsigniertes Binary, das PuTTY-Sitzungen liest) tragen den eigentlichen Erkennungswert.

Direkte Syscall-Beispiele

// HKCU\Software\SimonTatham\PuTTY\Sessions\<sessionName>
UNICODE_STRING n1, n2, n3, n4;
RtlInitUnicodeString(&n1, L"HostName");
RtlInitUnicodeString(&n2, L"UserName");
RtlInitUnicodeString(&n3, L"PortNumber");
RtlInitUnicodeString(&n4, L"PublicKeyFile");

KEY_VALUE_ENTRY entries[4] = {
    { &n1, 0, 0, 0 },
    { &n2, 0, 0, 0 },
    { &n3, 0, 0, 0 },
    { &n4, 0, 0, 0 },
};

UCHAR buf[2048];
ULONG bufLen = sizeof(buf), required = 0;
NTSTATUS st = NtQueryMultipleValueKey(hKey, entries, 4,
                                      buf, &bufLen, &required);
if (NT_SUCCESS(st)) {
    PWSTR host = (PWSTR)(buf + entries[0].DataOffset);
    PWSTR user = (PWSTR)(buf + entries[1].DataOffset);
    DWORD port = *(DWORD*)(buf + entries[2].DataOffset);
    PWSTR pkey = (PWSTR)(buf + entries[3].DataOffset);
    exfil(host, user, port, pkey);
}

; NtQueryMultipleValueKey direct syscall (Win11 24H2 SSN 0x161)
NtQueryMultipleValueKey PROC
    mov  r10, rcx
    mov  eax, 161h
    syscall
    ret
NtQueryMultipleValueKey ENDP

MITRE ATT&CK-Mappings

• T1552.002Unsecured Credentials: Credentials in Registrymitre ↗
• T1012Query Registrymitre ↗
• T1106Native APImitre ↗