Modify Registry
Ver en attack.mitre.org →11 syscalls implementan esta técnica
- NtCreateKey
Crea o abre una clave del registro — la primitiva del kernel detrás de toda persistencia registrada.
- NtDeleteKey
Elimina una clave del registro al cerrar el handle — usado para borrar persistencia y artefactos de auditoría tras la ejecución.
- NtDeleteValueKey
Elimina un único valor nombrado de una clave de registro abierta, dejando intacta la clave.
- NtSetValueKey
Escribe un valor nombrado en una clave de registro abierta — pilar de las persistencias Run y IFEO.
- NtRenameKey
Renombra una clave de registro existente en sitio — sin wrapper Win32, sólo accesible vía la API NT.
- NtUnloadKey
Desmonta una colmena del registro previamente cargada del gestor de configuración.
- NtRestoreKey
Sobrescribe el contenido de una clave de registro desde un archivo hive — reemplaza subárboles en bloque.
- NtFlushKey
Fuerza la escritura en disco de todos los cambios pendientes de una clave de registro.
- NtNotifyChangeKey
Registra una notificación asíncrona para cambios en una clave del registro y (opcionalmente) su subárbol.
- NtNotifyChangeMultipleKeys
Registra una única solicitud de notificación que se dispara cuando cualquiera de varias claves de registro cambia.
- NtSetSecurityObject
Escribe un nuevo SECURITY_DESCRIPTOR (propietario / DACL / SACL / etiqueta) sobre un objeto del kernel por handle.