NtThawRegistry

Prototyp

NTSTATUS NtThawRegistry(VOID);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 D4 01 00 00      mov eax, 0x1D4     ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Argumentloses Gegenstück zu `NtFreezeRegistry`. Erreicht `CmpRegistryThaw`, der den globalen Freeze-Lock freigibt; in der Kernel-`KeWaitForSingleObject`-Kette blockierte Schreiber werden entblockiert. Erfordert ebenfalls `SeBackupPrivilege`. Ein `NtThawRegistry`-Aufruf, wenn die Registry nicht eingefroren ist, liefert `STATUS_INVALID_PARAMETER` zurück — nützlich, um zu sondieren, ob ein Freeze aktiv ist (ungewöhnliche Diagnose, mit der ein Angreifer den Erfolg eines gepaarten `NtFreezeRegistry`-Aufrufs bestätigen könnte).

Häufige Malware-Nutzung

Gleicher Schwach-Signal-Vorbehalt wie bei `NtFreezeRegistry`: keine breit dokumentierte Commodity-Familie nutzt es. Die einzigen realistischen offensiven Muster sind die gepaarte Verwendung mit einem Freeze (DoS, TOCTTOU-Rennen) oder ein explizites Cleanup nach einem bösartigen Snapshot-Versuch, um das System nicht degradiert zu lassen und Watchdogs nicht auszulösen. Beachten Sie: Der Kernel-Auto-Thaw-Timeout bedeutet, dass ein Angreifer, der *nur* einfriert, das System von selbst zurückkehren sieht; `NtThawRegistry`-Aufrufe sind im Wesentlichen eine Höflichkeits-Primitive.

Erkennungs­möglichkeiten

Freeze/Thaw als Paar behandeln. Ein `NtThawRegistry`-Event von einem Prozess, der nicht selbst `NtFreezeRegistry` aufgerufen hat (also fremde Spuren aufräumt), ist für sich genommen anomal. Erkennungsregeln sollten den *Halter* von `SeBackupPrivilege` ins Visier nehmen, der Freeze→Thaw außerhalb der bekannten VSS-Writer (`VSSVC.exe`, `svchost.exe -k swprv`, Drittanbieter-Backup-Agents auf einer Allowlist) absetzt.

Direkte Syscall-Beispiele

NTSTATUS st = NtFreezeRegistry(30);
if (NT_SUCCESS(st)) {
    do_snapshot_work();
    NtThawRegistry();    // explicit; the 30s timeout would also auto-thaw
}

; NtThawRegistry direct syscall (Win11 24H2 SSN 0x1D4)
NtThawRegistry PROC
    mov  r10, rcx
    mov  eax, 1D4h
    syscall
    ret
NtThawRegistry ENDP

// STATUS_INVALID_PARAMETER (0xC000000D) from NtThawRegistry means 'not frozen'.
use windows_sys::Win32::System::LibraryLoader::*;
type NtThawFn = unsafe extern "system" fn() -> i32;
unsafe fn is_frozen() -> bool {
    let nt = GetModuleHandleA(b"ntdll.dll\0".as_ptr());
    let f: NtThawFn = std::mem::transmute(
        GetProcAddress(nt, b"NtThawRegistry\0".as_ptr()).unwrap()
    );
    // Caller must already have stored a prior freeze if they actually want to probe;
    // otherwise this is a destructive test.
    let st = f();
    st == 0 // success means we just thawed an active freeze
}

MITRE ATT&CK-Mappings

• T1562.001Impair Defenses: Disable or Modify Toolsmitre ↗
• T1106Native APImitre ↗