NtCompressKey

Prototipo

NTSTATUS NtCompressKey(
  HANDLE Key
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 A3 00 00 00      mov eax, 0xA3
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

`NtCompressKey` es una primitiva de mantenimiento que reescribe el archivo de colmena en disco que contiene la clave dada para recuperar el espacio dejado por celdas eliminadas. Es la contraparte de kernel de lo que `regedit` hace cuando ofrece compactar una colmena al importar. La implementación en `ntoskrnl.exe` (`CmpCompressKey` → `CmpDoCompressKey`) recorre el cell map, construye un nuevo archivo contiguo, lo fsynchroniza y lo intercambia atómicamente. No existe wrapper Win32 público; los consumidores deben `GetProcAddress("NtCompressKey")` desde `ntdll.dll`.

Uso común por malware

Prácticamente sin señal ofensiva. El syscall no lee, escribe ni expone contenido de la colmena de forma útil para un atacante, y requiere un handle escribible a una colmena ya cargada — quien lo tenga ya posee acceso completo lectura/escritura a los datos. Ocasionalmente aparece en herramientas red-team como *cleanup* — tras cargar una colmena offline, recolectar datos y dejar claves temporales, un `NtCompressKey` final encoge el archivo para que el revisor post-incidente no note una colmena sobredimensionada. A lo sumo una curiosidad anti-forense.

Oportunidades de detección

No vale la pena detectarlo por sí solo — el volumen de falsos positivos de herramientas legítimas de mantenimiento de registro (`regedit /a`, compactadores de terceros, algunos utilitarios de imagen OEM) ahoga la señal. Si hace falta: el proveedor ETW `Microsoft-Windows-Kernel-Registry` emite un evento HiveCompression y `Microsoft-Windows-Kernel-File` mostrará el archivo `.compress` / `.tmp` temporal escrito junto al original. Sysmon no lo expone directamente.

Ejemplos de syscalls directos

; Direct syscall stub for NtCompressKey (SSN 0xA3 on Win11 24H2)
NtCompressKey PROC
    mov  r10, rcx          ; Key
    mov  eax, 0A3h         ; SSN — drifts per build
    syscall
    ret
NtCompressKey ENDP

// No public Win32 wrapper — resolve from ntdll directly.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtCompressKey)(HANDLE);

NTSTATUS CompactHive(HKEY hMountedHiveRoot) {
    pNtCompressKey fn = (pNtCompressKey)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtCompressKey");
    return fn ? fn((HANDLE)hMountedHiveRoot) : STATUS_NOT_IMPLEMENTED;
}

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗