NtQueryKey

Prototipo

NTSTATUS NtQueryKey(
  HANDLE                KeyHandle,
  KEY_INFORMATION_CLASS KeyInformationClass,
  PVOID                 KeyInformation,
  ULONG                 Length,
  PULONG                ResultLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 16 00 00 00      mov eax, 0x16
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Es notable que el SSN de NtQueryKey haya quedado fijado en `0x16` desde Windows 10 1507 hasta Windows 11 24H2 — uno de los números más estables de la SSDT, lo que hace seguro un SSN codificado en duro entre builds. La variante KEY_FULL_INFORMATION devuelve LastWriteTime como FILETIME, el recuento de subclaves / valores y las longitudes máximas — los mismos números en los que `reg query` y `regjump` se apoyan.

Uso común por malware

Tres sabores de abuso. (1) *Evasión de detección de timestomp*: un operador puede leer LastWriteTime antes de manipular un valor y luego restaurarlo vía NtSetInformationKey (KeyWriteTimeInformation). (2) *Herramientas de enumeración*: implantes que recorren el registro combinan NtEnumerateKey + NtQueryKey para recorrer un subárbol e identificar objetivos de alto valor (autoruns, servicios, shims de AppCompat). (3) *Fingerprinting de sandbox*: consultar claves como `HKLM\HARDWARE\DESCRIPTION\System\BIOS` e inspeccionar LastWriteTime para detectar VMs de análisis recién creadas.

Oportunidades de detección

NtQueryKey por sí solo es ruido de fondo de muy alto volumen — Explorer por sí solo lo invoca decenas de miles de veces por hora. La señal valiosa es la *escritura* posterior: KeyWriteTimeInformation establecido vía NtSetInformationKey es raro en cargas legítimas y casi diagnóstico de timestomp. Los EDR que hookean CmRegisterCallbackEx ven RegNtPostQueryKey pero la mayoría lo ignora por coste. ETW Microsoft-Windows-Kernel-Registry expone RegistryQueryKey pero está deshabilitado por defecto. Consejo de hunt: un inventario de handles de proceso que muestre un binario no-Explorer / no-svchost manteniendo cientos de handles abiertos al registro es mejor pista que una sola llamada NtQueryKey.

Ejemplos de syscalls directos

// Capture the original LastWriteTime before tampering with a value,
// so it can be restored via NtSetInformationKey afterward.
KEY_BASIC_INFORMATION* kbi = (KEY_BASIC_INFORMATION*)buf;
ULONG ret = 0;
NTSTATUS st = NtQueryKey(hKey, KeyBasicInformation, kbi, sizeof(buf), &ret);
if (NT_SUCCESS(st)) {
    g_savedWriteTime = kbi->LastWriteTime;
}

NtQueryKey PROC
    mov  r10, rcx
    mov  eax, 16h
    syscall
    ret
NtQueryKey ENDP

// Cargo: ntapi = "0.4"
let mut needed: u32 = 0;
let status = unsafe {
    NtQueryKey(h_key,
        KeyFullInformation,
        null_mut(),
        0,
        &mut needed)
};
assert_eq!(status, STATUS_BUFFER_TOO_SMALL as i32);
let mut buf = vec![0u8; needed as usize];
let status = unsafe {
    NtQueryKey(h_key,
        KeyFullInformation,
        buf.as_mut_ptr() as _,
        buf.len() as u32,
        &mut needed)
};
assert!(status == 0);

Mapeos MITRE ATT&CK

• T1012Query Registrymitre ↗
• T1082System Information Discoverymitre ↗
• T1497Virtualization/Sandbox Evasionmitre ↗