NtThawRegistry

Prototipo

NTSTATUS NtThawRegistry(VOID);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 D4 01 00 00      mov eax, 0x1D4     ; Win11 24H2 SSN
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Contraparte sin argumentos de `NtFreezeRegistry`. Llama a `CmpRegistryThaw`, que libera el bloqueo global de congelamiento; los escritores pendientes en la cadena `KeWaitForSingleObject` del kernel se desbloquean. También requiere `SeBackupPrivilege`. Llamar a `NtThawRegistry` cuando el registro no está congelado devuelve `STATUS_INVALID_PARAMETER` — útil al sondear si hay un congelamiento en curso (diagnóstico inusual que un atacante podría usar para confirmar el éxito de un `NtFreezeRegistry` emparejado).

Uso común por malware

Mismo caveat de señal débil que `NtFreezeRegistry`: ninguna familia commodity ampliamente reportada lo usa. Los únicos patrones ofensivos realistas son uso emparejado con un congelamiento (DoS, carrera TOCTTOU) o limpieza explícita tras un intento malicioso de snapshot para no dejar el sistema degradado y disparar watchdogs. Tenga en cuenta que el timeout de auto-descongelado del kernel implica que un atacante que *solo* congela ve al sistema recuperarse solo; llamar a `NtThawRegistry` es esencialmente una primitiva de cortesía.

Oportunidades de detección

Trate freeze/thaw como un par. Un evento `NtThawRegistry` desde un proceso que no llamó él mismo a `NtFreezeRegistry` (limpiando el desorden de otro) es en sí anómalo. Las reglas de detección deben buscar el *titular* de `SeBackupPrivilege` emitiendo freeze→thaw fuera de los writers VSS conocidos (`VSSVC.exe`, `svchost.exe -k swprv`, agentes de respaldo de terceros en una allowlist).

Ejemplos de syscalls directos

NTSTATUS st = NtFreezeRegistry(30);
if (NT_SUCCESS(st)) {
    do_snapshot_work();
    NtThawRegistry();    // explicit; the 30s timeout would also auto-thaw
}

; NtThawRegistry direct syscall (Win11 24H2 SSN 0x1D4)
NtThawRegistry PROC
    mov  r10, rcx
    mov  eax, 1D4h
    syscall
    ret
NtThawRegistry ENDP

// STATUS_INVALID_PARAMETER (0xC000000D) from NtThawRegistry means 'not frozen'.
use windows_sys::Win32::System::LibraryLoader::*;
type NtThawFn = unsafe extern "system" fn() -> i32;
unsafe fn is_frozen() -> bool {
    let nt = GetModuleHandleA(b"ntdll.dll\0".as_ptr());
    let f: NtThawFn = std::mem::transmute(
        GetProcAddress(nt, b"NtThawRegistry\0".as_ptr()).unwrap()
    );
    // Caller must already have stored a prior freeze if they actually want to probe;
    // otherwise this is a destructive test.
    let st = f();
    st == 0 // success means we just thawed an active freeze
}

Mapeos MITRE ATT&CK

• T1562.001Impair Defenses: Disable or Modify Toolsmitre ↗
• T1106Native APImitre ↗