NtLoadKeyEx

Prototipo

NTSTATUS NtLoadKeyEx(
  POBJECT_ATTRIBUTES TargetKey,
  POBJECT_ATTRIBUTES SourceFile,
  ULONG              Flags,
  HANDLE             TrustClassKey,
  HANDLE             Event,
  ACCESS_MASK        DesiredAccess,
  PHANDLE            RootHandle,
  PIO_STATUS_BLOCK   IoStatusBlock
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 13 01 00 00      mov eax, 0x113
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

`NtLoadKeyEx` es la primitiva moderna canónica de carga de colmena. Dos APIs Win32 se apoyan en ella: `RegLoadKeyW` (montaje admin clásico bajo HKLM / HKU, requiere `SeRestorePrivilege`) y el mucho más interesante `RegLoadAppKeyW` (colmena privada por proceso / por archivo, **sin privilegios** — funciona desde un AppContainer de baja integridad). La combinación `REG_APP_HIVE | REG_PROCESS_PRIVATE | REG_LOAD_HIVE_OPEN_HANDLE` impulsa la capa de virtualización de registro AppContainer / Centennial; cada paquete UWP recibe una colmena privada en `\Registry\WC\<package>` invisible a otros procesos. El handler de kernel es `CmLoadKey` (`ntoskrnl.exe`), filtrado por `CmpCheckLoadHiveAccess`.

Uso común por malware

Dos rutas de abuso distintas. (1) **Admin / post-explotación**: el mismo parseo offline de SAM/SYSTEM/SECURITY que `NtLoadKey` — el operador copia la colmena vía VSS o `reg save HKLM\SAM`, luego la monta bajo HKU con `NtLoadKeyEx`. (2) **Loaders conscientes de AppContainer**: malware corriendo en un UWP sandbox / renderer de Edge / contexto MSIX puede usar `REG_APP_HIVE` para instanciar una colmena privada respaldada por un archivo escribible bajo su directorio de datos del paquete — útil como caché de staging o configuración que sobrevive reinicio sin tocar HKCU ni disparar `RegSetValueEx` sobre claves monitorizadas. Loaders estilo Phantom DLL Hollowing también usan `REG_APP_HIVE | REG_OPEN_READ_ONLY` para montar una colmena cuyo archivo de respaldo es un blob `.dat` con payload.

Oportunidades de detección

Misma postura blue-team que `NtLoadKey`/`NtLoadKey2`: el evento ETW `Microsoft-Windows-Kernel-Registry` ID 9 (HiveLoaded) es la fuente autoritativa. La señal de calidad es la ruta del *archivo de respaldo* — `RegLoadAppKeyW` carga legítimamente archivos en `C:\Users\<u>\AppData\Local\Packages\<pkg>\Settings\settings.dat`; cualquier otra (especialmente colmenas en `C:\Windows\Temp`, `\ProgramData\` o blobs descargados) es anómala. Combinar con Sysmon Event ID 11 (FileCreate) sobre escrituras `*.dat`/`*.hve` en directorios sospechosos y Event ID 1 (Process Create) que muestre habilitación de `SeRestorePrivilege` para montajes de árbol completo.

Ejemplos de syscalls directos

; Direct syscall stub for NtLoadKeyEx (SSN 0x113 on Win11 24H2)
NtLoadKeyEx PROC
    mov  r10, rcx          ; TargetKey
    mov  eax, 113h         ; SSN — drifts per build
    syscall
    ret
NtLoadKeyEx ENDP

// Replicates what RegLoadAppKeyW does internally. Works from Low-IL AppContainers.
#include <windows.h>
#include <winternl.h>

#define REG_APP_HIVE                0x00000010
#define REG_PROCESS_PRIVATE         0x00000020
#define REG_LOAD_HIVE_OPEN_HANDLE   0x00000800

typedef NTSTATUS (NTAPI *pNtLoadKeyEx)(
    POBJECT_ATTRIBUTES, POBJECT_ATTRIBUTES, ULONG,
    HANDLE, HANDLE, ACCESS_MASK, PHANDLE, PIO_STATUS_BLOCK);

HANDLE LoadPrivateHive(LPCWSTR ntHiveFile) {
    HANDLE hRoot = NULL;
    IO_STATUS_BLOCK iosb = {0};
    UNICODE_STRING uMount, uFile;
    OBJECT_ATTRIBUTES oaMount, oaFile;
    // Mount path is irrelevant under REG_APP_HIVE | REG_PROCESS_PRIVATE
    RtlInitUnicodeString(&uMount, L"\\REGISTRY\\A\\{00000000-0000-0000-0000-000000000000}");
    RtlInitUnicodeString(&uFile,  ntHiveFile);
    InitializeObjectAttributes(&oaMount, &uMount, OBJ_CASE_INSENSITIVE, NULL, NULL);
    InitializeObjectAttributes(&oaFile,  &uFile,  OBJ_CASE_INSENSITIVE, NULL, NULL);
    pNtLoadKeyEx fn = (pNtLoadKeyEx)GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtLoadKeyEx");
    fn(&oaMount, &oaFile,
       REG_APP_HIVE | REG_PROCESS_PRIVATE | REG_LOAD_HIVE_OPEN_HANDLE,
       NULL, NULL, KEY_ALL_ACCESS, &hRoot, &iosb);
    return hRoot;  // HKEY-equivalent, usable with NtOpenKey / NtSetValueKey
}

// Cargo: windows-sys = { version = "0.59", features = [
//   "Win32_Foundation", "Win32_System_Registry", "Win32_Security" ] }
use windows_sys::Win32::System::Registry::{RegLoadKeyW, HKEY_LOCAL_MACHINE};
use windows_sys::core::PCWSTR;

fn mount_offline_system(hive_path_utf16: &[u16], subkey_utf16: &[u16]) -> i32 {
    // RegLoadKeyW → NtLoadKeyEx with Flags=0, TrustClassKey=NULL,
    // no REG_LOAD_HIVE_OPEN_HANDLE. Requires SeRestorePrivilege+SeBackupPrivilege.
    unsafe {
        RegLoadKeyW(HKEY_LOCAL_MACHINE,
                    subkey_utf16.as_ptr() as PCWSTR,
                    hive_path_utf16.as_ptr() as PCWSTR) as i32
    }
}

Mapeos MITRE ATT&CK

• T1003.002OS Credential Dumping: Security Account Managermitre ↗
• T1574Hijack Execution Flowmitre ↗
• T1106Native APImitre ↗