NtRestoreKey

Prototipo

NTSTATUS NtRestoreKey(
  HANDLE  KeyHandle,
  HANDLE  FileHandle,
  ULONG   Flags
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 89 01 00 00      mov eax, 0x189
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtRestoreKey es la inversa de NtSaveKey: reemplaza el contenido de una clave abierta con lo que contiene un archivo hive. Con `REG_FORCE_RESTORE` el kernel lo hace incluso si hay handles abiertos al subárbol destino. El llamante necesita **SeRestorePrivilege**. El wrapper Win32 es `RegRestoreKeyW`. La operación es atómica a nivel de bloque de hive; un fallo parcial deja el destino en estado pre-restauración.

Uso común por malware

Dos patrones dominan. Primero, **manipulación de persistencia**: un atacante con una plantilla Run-key conocida puede sobrescribir `HKLM\Software\Microsoft\Windows\CurrentVersion\Run` (o un subárbol de configuración de servicio) entero, reemplazando todas las entradas en un solo syscall — útil para plantar persistencia *y* borrar entradas competidoras de malware rival. Segundo, **rollback tras manipulación**: herramientas de red team toman un snapshot con NtSaveKey, modifican una clave, ejecutan trabajo y luego revierten con NtRestoreKey para evadir auditoría de cambios en host. Menos común: ransomware lo usa para intercambiar rutas de service-DLL en bloque antes del reboot.

Oportunidades de detección

ETW `Microsoft-Windows-Kernel-Registry` emite un evento load/restore distinto de los value-set. Sysmon Event 13 dispara por valor modificado — un único NtRestoreKey puede producir una *ráfaga* de registros Event 13 con timestamps idénticos bajo la misma clave, un patrón inusual digno de regla. La habilitación de SeRestorePrivilege (Sysmon 4673) inmediatamente antes de una escritura de registro es un indicador anticipado fuerte. Consejo de hunting: alertar sobre el uso del flag REG_FORCE_RESTORE — casi nunca se ve en software benigno.

Ejemplos de syscalls directos

; Direct syscall stub for NtRestoreKey (SSN 0x189 on Win11 24H2 — drifts per build)
NtRestoreKey PROC
    mov  r10, rcx          ; KeyHandle
    mov  eax, 189h         ; SSN
    syscall
    ret
NtRestoreKey ENDP

// Overwrite HKLM\...\Run wholesale from a prepared hive file — useful for both
// persistence install and rival-eviction. Requires SeRestorePrivilege.
#include <windows.h>

LONG RestoreRunKey(LPCWSTR hivePath) {
    HKEY hRun = NULL;
    LONG s = RegOpenKeyExW(HKEY_LOCAL_MACHINE,
        L"Software\\Microsoft\\Windows\\CurrentVersion\\Run",
        0, KEY_ALL_ACCESS, &hRun);
    if (s != ERROR_SUCCESS) return s;
    // REG_FORCE_RESTORE (8) replaces even with open handles elsewhere.
    s = RegRestoreKeyW(hRun, hivePath, 8 /* REG_FORCE_RESTORE */);
    RegCloseKey(hRun);
    return s;
}

// Snap a key handle and a hive file handle, then restore atomically.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtRestoreKey)(HANDLE, HANDLE, ULONG);

NTSTATUS DoRestore(HANDLE hKey, HANDLE hFile, ULONG flags) {
    pNtRestoreKey fn = (pNtRestoreKey)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtRestoreKey");
    return fn(hKey, hFile, flags);
}

Mapeos MITRE ATT&CK

• T1112Modify Registrymitre ↗
• T1547.001Registry Run Keys / Startup Foldermitre ↗
• T1106Native APImitre ↗