← Volver al índice ATT&CK
T1012
Query Registry
Ver en attack.mitre.org →6 syscalls implementan esta técnica
- NtOpenKey
Abre una clave de registro existente — entrada del kernel detrás de RegOpenKeyEx, usada para alcanzar las hives SAM, SECURITY y de persistencia.
- NtOpenKeyEx
Variante extendida de NtOpenKey con OpenOptions — necesaria para seguir enlaces simbólicos y aperturas con semántica backup.
- NtQueryValueKey
Lee un valor de una clave del registro — primitiva de cosecha dirigida de credenciales y configuraciones.
- NtQueryMultipleValueKey
Lee atómicamente varios valores de registro de una sola clave en un único syscall.
- NtEnumerateKey
Enumera subclaves de una clave del registro — usado para recorrer AutoRun, IFEO y Services en busca de persistencia.
- NtQueryKey
Devuelve metadatos sobre una clave de registro abierta — nombre, clase, recuento de subclaves/valores, última modificación.