NtRenameKey

Prototipo

NTSTATUS NtRenameKey(
  HANDLE          KeyHandle,
  PUNICODE_STRING NewName
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 81 01 00 00      mov eax, 0x181
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtRenameKey no está documentada en MSDN — Win32 no expone equivalente y Reflection.RegistryKey no puede alcanzarla. La operación es atómica dentro de CmRenameKey, que llama a CmpDuplicateKeyValueInformation sobre un KCB recién creado y luego desvincula el nombre anterior del HHIVE del padre. Bloqueos retenidos: HiveLock + bloqueo KCB del padre. Devuelve STATUS_OBJECT_NAME_COLLISION si ya existe un hermano con NewName.

Uso común por malware

Raro en ofensiva. El nicho plausible es la *evasión de allowlist*: esquemas de persistencia que rotan el nombre de un valor `Run` (o el nombre de una clave bajo `Image File Execution Options`) para vencer allowlists ingenuas del defensor que buscan nombres específicos. También sirve para renombrar temporalmente una clave relacionada con seguridad mientras se prepara otro cambio y luego revertir — aunque ese patrón se hace más limpio con NtSaveKey/NtRestoreKey. Señal honesta: la mayoría de informes públicos de rotación de registro usan NtSetValueKey para cambiar el nombre de un valor en lugar de NtRenameKey sobre la clave misma.

Oportunidades de detección

Ruido de fondo realmente bajo — casi nada legítimo invoca NtRenameKey. ETW Microsoft-Windows-Kernel-Registry emite un evento de tarea RenameKey. Sysmon Event 12 (RegistryEvent CreateKey/DeleteKey) no separa renombres limpiamente — aparece como DeleteKey sobre la ruta antigua seguido de CreateKey sobre la nueva con el mismo KCB. CmRegisterCallbackEx entrega RegNtPreRenameKey / RegNtPostRenameKey, el punto de hook más limpio. Un único RenameKey bajo HKLM\SYSTEM\CurrentControlSet\Services o HKLM\Software\Microsoft\Windows\CurrentVersion\Run debería investigarse siempre.

Ejemplos de syscalls directos

// Rotate the leaf name of HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Updater
// to evade trivial 'name == Updater' allowlists.
UNICODE_STRING newName;
RtlInitUnicodeString(&newName, L"WindowsUpdateHelper");
NTSTATUS st = NtRenameKey(hRunSubkey, &newName);
if (st == STATUS_OBJECT_NAME_COLLISION) {
    // sibling exists — pick a different rotated name
}

NtRenameKey PROC
    mov  r10, rcx
    mov  eax, 181h
    syscall
    ret
NtRenameKey ENDP

// Cargo: ntapi = "0.4", widestring = "1"
let name = U16CString::from_str("WindowsUpdateHelper")?;
let mut us = UNICODE_STRING {
    Length: (name.len() * 2) as u16,
    MaximumLength: ((name.len() + 1) * 2) as u16,
    Buffer: name.as_ptr() as _,
};
let status = unsafe { NtRenameKey(h_key, &mut us) };

Mapeos MITRE ATT&CK

• T1112Modify Registrymitre ↗
• T1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup Foldermitre ↗
• T1106Native APImitre ↗