NtQueryMultipleValueKey

Prototipo

NTSTATUS NtQueryMultipleValueKey(
  HANDLE              KeyHandle,
  PKEY_VALUE_ENTRY    ValueEntries,
  ULONG               EntryCount,
  PVOID               ValueBuffer,
  PULONG              BufferLength,
  PULONG              RequiredBufferLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 61 01 00 00      mov eax, 0x161     ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Syscall subyacente de `RegQueryMultipleValuesW`. El kernel recorre la lista de valores de la clave una sola vez, obtiene todos los valores solicitados en un único búfer empaquetado bajo un único bloqueo de hive, y devuelve los desplazamientos — estrictamente más rápido que N llamadas seguidas a `NtQueryValueKey` y, lo más importante, *atómico* frente a escritores concurrentes. Cada `KEY_VALUE_ENTRY` es `{ ValueName, DataLength, DataOffset, Type }`; el llamador pre-rellena `ValueName` (un `UNICODE_STRING*`), el kernel rellena los otros tres.

Uso común por malware

Las herramientas de recolección de credenciales y reconocimiento que apuntan a claves estructuradas se benefician de la atomicidad. El ejemplo de manual son las sesiones PuTTY guardadas bajo `HKCU\Software\SimonTatham\PuTTY\Sessions\<nombre>` — `HostName`, `UserName`, `PortNumber`, `Protocol`, `PublicKeyFile` y `ProxyHost` pueden extraerse en una sola llamada, impidiendo que el usuario rote la sesión durante la lectura. WinSCP, los fallbacks INI/XML de FileZilla y las rutas de historial de PowerShell ISE en HKCU presentan formas similares. También es un camino ligeramente menos hookeado que `RegQueryValueExW`, lo que puede ser una ganancia marginal de evasión frente a EDRs que instrumentan advapi32 pero no las llamadas directas a ntdll.

Oportunidades de detección

El volumen de llamadas a `NtQueryMultipleValueKey` es muy bajo comparado con `NtQueryValueKey`, lo que lo hace una señal relativamente alta. ETW Microsoft-Windows-Kernel-Registry emite un `EventID 4` (QueryValueKey) *por valor* incluso para la ruta multi-valor, así que las detecciones existentes que se centran en el acceso a `Software\SimonTatham\PuTTY` o `Software\Martin Prikryl` siguen disparándose. Sysmon Event 12/13 elevan aperturas de clave contra las rutas de credenciales. Las reglas de correlación de procesos (`powershell.exe`/`rundll32.exe`/binario no firmado leyendo sesiones PuTTY) llevan el valor real de detección.

Ejemplos de syscalls directos

// HKCU\Software\SimonTatham\PuTTY\Sessions\<sessionName>
UNICODE_STRING n1, n2, n3, n4;
RtlInitUnicodeString(&n1, L"HostName");
RtlInitUnicodeString(&n2, L"UserName");
RtlInitUnicodeString(&n3, L"PortNumber");
RtlInitUnicodeString(&n4, L"PublicKeyFile");

KEY_VALUE_ENTRY entries[4] = {
    { &n1, 0, 0, 0 },
    { &n2, 0, 0, 0 },
    { &n3, 0, 0, 0 },
    { &n4, 0, 0, 0 },
};

UCHAR buf[2048];
ULONG bufLen = sizeof(buf), required = 0;
NTSTATUS st = NtQueryMultipleValueKey(hKey, entries, 4,
                                      buf, &bufLen, &required);
if (NT_SUCCESS(st)) {
    PWSTR host = (PWSTR)(buf + entries[0].DataOffset);
    PWSTR user = (PWSTR)(buf + entries[1].DataOffset);
    DWORD port = *(DWORD*)(buf + entries[2].DataOffset);
    PWSTR pkey = (PWSTR)(buf + entries[3].DataOffset);
    exfil(host, user, port, pkey);
}

; NtQueryMultipleValueKey direct syscall (Win11 24H2 SSN 0x161)
NtQueryMultipleValueKey PROC
    mov  r10, rcx
    mov  eax, 161h
    syscall
    ret
NtQueryMultipleValueKey ENDP

Mapeos MITRE ATT&CK

• T1552.002Unsecured Credentials: Credentials in Registrymitre ↗
• T1012Query Registrymitre ↗
• T1106Native APImitre ↗