NtOpenKey

Prototipo

NTSTATUS NtOpenKey(
  PHANDLE            KeyHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 12 00 00 00      mov eax, 0x12
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

La apertura mínima del registro — tres argumentos, SSN `0x12` desde los inicios de NT. El namespace NT del registro vive bajo `\Registry`, con `\Registry\Machine` mapeado a HKLM y `\Registry\User\<SID>` a hives de usuario; `RegOpenKeyEx` de advapi32 reescribe los handles `HKEY_*` predefinidos a estas rutas antes de llamar a NtOpenKey. No hay parámetro `OpenOptions` — para eso, `NtOpenKeyEx`. Quien quiera leer SAM/SECURITY debe primero impersonar SYSTEM (`NtOpenProcessToken` sobre lsass + `NtDuplicateToken` + `SetThreadToken`) porque la DACL del hive excluye Administrators por defecto.

Uso común por malware

Puerta de entrada al **dumping de credenciales por registro**. Cadenas canónicas: (a) **T1003.002 hive SAM** — abrir `\Registry\Machine\SAM\SAM\Domains\Account\Users\Names\<user>` para enumerar usuarios, luego recorrer `\...\Users\<RID>\V` para el hash cifrado, descifrado con la BootKey ensamblada desde cuatro atributos `Class` de `\Registry\Machine\System\CurrentControlSet\Control\Lsa\{JD,Skew1,GBG,Data}`; (b) **T1003.004 LSA secrets** — abrir `\Registry\Machine\SECURITY\Policy\Secrets\*\CurrVal` para passwords de cuentas de servicio en caché y claves DPAPI domain backup; (c) **enumeración de persistencia** — abrir Run keys, IFEO, AppInit_DLLs, Winlogon Notify, hive de servicios. `lsadump::sam` y `lsadump::secrets` de Mimikatz ejecutan exactamente esta vía, igual que `secretsdump.py` de Impacket y `reg.exe save HKLM\SAM <file>` con parseo offline.

Oportunidades de detección

ETW Microsoft-Windows-Kernel-Registry (`{70EB4F03-C1DE-4F73-A051-33D13D5413BD}`) emite un evento por apertura de registro con ruta completa, PID solicitante y máscara de acceso. Sysmon Event ID 12 (RegistryEvent CreateKey/SetKey) y 13 (SetValue) cubren escrituras; **el lado de lectura requiere filtrado explícito Sysmon RegistryEvent type=CreateKey sobre `HKLM\SAM`, `HKLM\SECURITY`, `HKLM\Security\Policy\Secrets`** — son los indicadores de dump más fiables. Los EDR enganchan `NtOpenKey`/`NtOpenKeyEx` en el kernel vía `CmRegisterCallbackEx` (notificaciones RegNtPreOpenKeyEx / RegNtPostOpenKey). La regla ASR de Defender "Block credential stealing from lsass.exe" eleva indirectamente el coste del preludio de robo de token LSA. Cazar cualquier proceso no-LSASS/no-svchost abriendo `\Registry\Machine\SAM` o `\Registry\Machine\SECURITY`.

Ejemplos de syscalls directos

UNICODE_STRING name;
RtlInitUnicodeString(&name,
    L"\\Registry\\Machine\\Software\\Microsoft\\Windows\\CurrentVersion\\Run");

OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE hKey = NULL;
NTSTATUS s = NtOpenKey(&hKey, KEY_QUERY_VALUE | KEY_ENUMERATE_SUB_KEYS, &oa);

NtOpenKey PROC
    mov  r10, rcx
    mov  eax, 12h
    syscall
    ret
NtOpenKey ENDP

use ntapi::ntregapi::NtOpenKey;
use ntapi::ntrtl::RtlInitUnicodeString;
use winapi::shared::ntdef::{HANDLE, OBJECT_ATTRIBUTES, OBJ_CASE_INSENSITIVE, UNICODE_STRING};

pub unsafe fn open_key(path: *const u16, access: u32) -> Option<HANDLE> {
    let mut us: UNICODE_STRING = core::mem::zeroed();
    RtlInitUnicodeString(&mut us, path);
    let mut oa = OBJECT_ATTRIBUTES {
        Length: core::mem::size_of::<OBJECT_ATTRIBUTES>() as u32,
        RootDirectory: core::ptr::null_mut(),
        ObjectName: &mut us,
        Attributes: OBJ_CASE_INSENSITIVE,
        SecurityDescriptor: core::ptr::null_mut(),
        SecurityQualityOfService: core::ptr::null_mut(),
    };
    let mut h: HANDLE = core::ptr::null_mut();
    if NtOpenKey(&mut h, access, &mut oa) == 0 { Some(h) } else { None }
}

Mapeos MITRE ATT&CK

• T1003.002OS Credential Dumping: Security Account Managermitre ↗
• T1003.004OS Credential Dumping: LSA Secretsmitre ↗
• T1012Query Registrymitre ↗
• T1106Native APImitre ↗