NtUnloadKey

Prototipo

NTSTATUS NtUnloadKey(
  POBJECT_ATTRIBUTES TargetKey
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 DA 01 00 00      mov eax, 0x1DA
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtUnloadKey desmonta forzosamente una colmena del registro previamente adjuntada vía NtLoadKey / `reg load`. El llamador debe poseer SeRestorePrivilege; en caso contrario la solicitud falla con STATUS_PRIVILEGE_NOT_HELD. Internamente, CmUnloadKey recorre la cadena CM_KEY_CONTROL_BLOCK y persiste cambios pendientes antes de desmontar la colmena — un unload descuidado sobre una colmena aún en uso puede correr contra handles abiertos por otros hilos y devolver STATUS_CANNOT_DELETE. La variante NtUnloadKey2 acepta un argumento `Flags` para forzar el desmontaje.

Uso común por malware

Se usa como la mitad de limpieza de un abuso de colmena offline: el operador monta `reg load HKU\Tmp C:\Users\victima\NTUSER.DAT`, extrae credenciales / cosecha claves Run de la colmena montada, y luego invoca NtUnloadKey para desadjuntar la colmena y borrar el indicador obvio. La misma primitiva sirve como anti-forense ligero — al desmontar una colmena que una herramienta de triage acaba de mapear, el implante puede privar de visibilidad al analista. Algunos loaders también desmontan colmenas temporales usadas para manipular AppCompat / TypedURL.

Oportunidades de detección

Sysmon no tiene un evento dedicado al unload de colmena, pero el proveedor ETW Microsoft-Windows-Kernel-Registry emite Event ID 1 (HiveLoad) y Event ID 2 (HiveUnload) con la ruta de la colmena. La subcategoría de auditoría "Registry" (4657 / 4660) no cubre load/unload de colmena; hay que recurrir a "Other System Events" o al proveedor ETW Kernel-Registry directamente. Defender ATP genera una alerta de alta fidelidad sobre `reg unload` de colmenas fuera de %SystemRoot%\System32\config — anómalo cuando va precedido de un load contra el perfil de otro usuario.

Ejemplos de syscalls directos

NtUnloadKey PROC
    mov  r10, rcx
    mov  eax, 1DAh
    syscall
    ret
NtUnloadKey ENDP

// After mounting another user's NTUSER.DAT via NtLoadKey and harvesting,
// detach it so `reg query HKU` no longer reveals the staged hive.
UNICODE_STRING name;
RtlInitUnicodeString(&name, L"\\Registry\\User\\TempHive");

OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

NTSTATUS st = NtUnloadKey(&oa);
if (st == STATUS_CANNOT_DELETE) {
    // Some handle is still open; force via NtUnloadKey2 with REG_FORCE_UNLOAD.
}

// Cargo: windows-sys = "0.59" (Win32_Security, Win32_System_Registry)
// Caller must first enable SeRestorePrivilege via NtAdjustPrivilegesToken.
unsafe {
    let mut name = make_unicode_string("\\Registry\\User\\TempHive");
    let mut oa = OBJECT_ATTRIBUTES {
        Length: size_of::<OBJECT_ATTRIBUTES>() as u32,
        ObjectName: &mut name,
        Attributes: OBJ_CASE_INSENSITIVE,
        ..zeroed()
    };
    let st = NtUnloadKey(&mut oa);
    assert!(st == 0, "NtUnloadKey failed: {st:#x}");
}

Mapeos MITRE ATT&CK

• T1003.002OS Credential Dumping: Security Account Managermitre ↗
• T1112Modify Registrymitre ↗
• T1070Indicator Removalmitre ↗