Registry Run Keys / Startup Folder
Voir sur attack.mitre.org →10 syscalls implémentent cette technique
- NtCreateKey
Crée ou ouvre une clé de registre — primitive noyau derrière toute persistance écrite dans le registre.
- NtDeleteValueKey
Supprime une valeur nommée unique d'une clé de registre ouverte, sans toucher à la clé elle-même.
- NtSetValueKey
Écrit une valeur nommée dans une clé de registre ouverte — pierre angulaire des persistances Run et IFEO.
- NtEnumerateKey
Énumère les sous-clés d'une clé de registre — utilisé pour parcourir AutoRun, IFEO et Services pour la découverte de persistance.
- NtRenameKey
Renomme une clé de registre existante en place — pas de wrapper Win32, accessible uniquement via l'API NT.
- NtRestoreKey
Écrase le contenu d'une clé de registre depuis un fichier ruche — remplace des sous-arbres en bloc.
- NtFlushKey
Force l'écriture sur disque de toutes les modifications en attente d'une clé de registre.
- NtNotifyChangeKey
Enregistre une notification asynchrone pour les modifications d'une clé de registre et (optionnellement) son sous-arbre.
- NtNotifyChangeMultipleKeys
Enregistre une demande unique de notification qui se déclenche lorsque l'une de plusieurs clés de registre change.
- NtCreateFile
Crée ou ouvre un fichier, répertoire, périphérique ou pipe nommé — premier appel disque de tout dropper.