Modify Registry
Voir sur attack.mitre.org →11 syscalls implémentent cette technique
- NtCreateKey
Crée ou ouvre une clé de registre — primitive noyau derrière toute persistance écrite dans le registre.
- NtDeleteKey
Supprime une clé de registre à la fermeture du handle — utilisé pour effacer la persistance et les artefacts d'audit après exécution.
- NtDeleteValueKey
Supprime une valeur nommée unique d'une clé de registre ouverte, sans toucher à la clé elle-même.
- NtSetValueKey
Écrit une valeur nommée dans une clé de registre ouverte — pierre angulaire des persistances Run et IFEO.
- NtRenameKey
Renomme une clé de registre existante en place — pas de wrapper Win32, accessible uniquement via l'API NT.
- NtUnloadKey
Détache une ruche du registre précédemment chargée du gestionnaire de configuration.
- NtRestoreKey
Écrase le contenu d'une clé de registre depuis un fichier ruche — remplace des sous-arbres en bloc.
- NtFlushKey
Force l'écriture sur disque de toutes les modifications en attente d'une clé de registre.
- NtNotifyChangeKey
Enregistre une notification asynchrone pour les modifications d'une clé de registre et (optionnellement) son sous-arbre.
- NtNotifyChangeMultipleKeys
Enregistre une demande unique de notification qui se déclenche lorsque l'une de plusieurs clés de registre change.
- NtSetSecurityObject
Écrit un nouveau SECURITY_DESCRIPTOR (propriétaire / DACL / SACL / étiquette) sur un objet noyau via son handle.