← Retour à l'index ATT&CK
T1012
Query Registry
Voir sur attack.mitre.org →6 syscalls implémentent cette technique
- NtOpenKey
Ouvre une clé de registre existante — entrée noyau de RegOpenKeyEx, utilisée pour atteindre les ruches SAM, SECURITY et de persistance.
- NtOpenKeyEx
Variante étendue de NtOpenKey avec OpenOptions — requise pour suivre les liens symboliques et l'ouverture en sémantique backup.
- NtQueryValueKey
Lit une valeur d'une clé de registre — primitive de collecte ciblée de credentials et de configurations.
- NtQueryMultipleValueKey
Lit atomiquement plusieurs valeurs de registre d'une même clé en un seul syscall.
- NtEnumerateKey
Énumère les sous-clés d'une clé de registre — utilisé pour parcourir AutoRun, IFEO et Services pour la découverte de persistance.
- NtQueryKey
Renvoie les métadonnées d'une clé de registre ouverte — nom, classe, nombre de sous-clés/valeurs, dernière modification.