NtCompressKey

Prototype

NTSTATUS NtCompressKey(
  HANDLE Key
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 A3 00 00 00      mov eax, 0xA3
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

`NtCompressKey` est une primitive de maintenance qui réécrit le fichier ruche sur disque contenant la clé fournie pour récupérer l'espace laissé par les cellules supprimées. C'est le pendant noyau de ce que `regedit` fait quand il propose de compacter une ruche à l'import. L'implémentation dans `ntoskrnl.exe` (`CmpCompressKey` → `CmpDoCompressKey`) parcourt le cell map, construit un nouveau fichier ruche contigu, le fsync et l'échange atomiquement. Aucun wrapper Win32 public ; les consommateurs doivent `GetProcAddress("NtCompressKey")` depuis `ntdll.dll`.

Usage courant par les malwares

Pratiquement aucun signal offensif. Le syscall ne lit, n'écrit ni n'expose le contenu de la ruche d'une manière utile à un attaquant, et il exige un handle écrivable sur une ruche déjà chargée — quiconque l'a possède déjà un accès lecture/écriture complet aux données. Parfois vu dans des outils red-team en *cleanup* — après avoir chargé une ruche hors-ligne, récolté les données et déposé des clés temporaires, un dernier `NtCompressKey` rétrécit le fichier pour qu'un examen post-incident ne remarque pas une ruche surdimensionnée. C'est tout au plus une curiosité anti-forensique.

Opportunités de détection

Pas digne d'être détecté seul — le volume de faux positifs issus d'outils de maintenance registre légitimes (`regedit /a`, compacteurs tiers, certains utilitaires d'imagerie OEM) noie le signal. Si besoin : le provider ETW `Microsoft-Windows-Kernel-Registry` émet un événement HiveCompression et `Microsoft-Windows-Kernel-File` montrera le fichier ruche temporaire `.compress` / `.tmp` écrit à côté de l'original. Sysmon ne surface pas cela directement.

Exemples de syscalls directs

; Direct syscall stub for NtCompressKey (SSN 0xA3 on Win11 24H2)
NtCompressKey PROC
    mov  r10, rcx          ; Key
    mov  eax, 0A3h         ; SSN — drifts per build
    syscall
    ret
NtCompressKey ENDP

// No public Win32 wrapper — resolve from ntdll directly.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtCompressKey)(HANDLE);

NTSTATUS CompactHive(HKEY hMountedHiveRoot) {
    pNtCompressKey fn = (pNtCompressKey)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtCompressKey");
    return fn ? fn((HANDLE)hMountedHiveRoot) : STATUS_NOT_IMPLEMENTED;
}

Mappings MITRE ATT&CK

• T1106Native APImitre ↗