NtCreateKey

Prototype

NTSTATUS NtCreateKey(
  PHANDLE            KeyHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  ULONG              TitleIndex,
  PUNICODE_STRING    Class,
  ULONG              CreateOptions,
  PULONG             Disposition
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 1D 00 00 00      mov eax, 0x1D
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

`0x1D` est le SSN depuis Windows 7 et reste inchangé jusqu'à Win11 24H2 — l'un des numéros codés en dur les plus fiables. L'appel passe par CmpCallCallBacksEx puis CmCreateKey dans le Configuration Manager (allocation CM_KEY_BODY). Comme le chemin ObjectAttributes est analysé dans l'espace d'objets NT (`\Registry\Machine\...`, `\Registry\User\<SID>\...`), les implants l'utilisent directement pour éviter les hooks de traduction de chemin que les EDR posent sur advapi32!RegCreateKeyEx.

Usage courant par les malwares

La persistance est l'usage dominant. Les opérateurs créent des sous-clés sous `HKLM\Software\Microsoft\Windows\CurrentVersion\Run`, `HKCU\...\Run`, `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon` (Shell/Userinit/AppInit_DLLs), `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<cible.exe>` (détournement par valeur Debugger), et `HKLM\System\CurrentControlSet\Services\<nom>` pour la persistance par service. Appeler NtCreateKey directement contourne les hooks user-mode d'advapi32 et permet d'écrire dans les clés sans artefacts de type CreateRemoteThread.

Opportunités de détection

Le provider ETW Microsoft-Windows-Kernel-Registry (`{70EB4F03-C1DE-4F73-A051-33D13D5413BD}`) déclenche `EventCreateKey` (Opcode 10) avec le chemin complet et le PID créateur — la meilleure source de détection, insensible aux contournements user-mode. Sysmon Event ID 12 (RegistryEvent: CreateKey / DeleteKey) capture la même chose là où Defender for Endpoint n'est pas déployé. Chasser surtout sur les clés d'autostart, les sous-clés IFEO ciblant des LOLBins courants (`mmc.exe`, `taskmgr.exe`, `osk.exe`), et toute nouvelle entrée `Services\` dont l'ImagePath sort de `\SystemRoot\System32\`. Les hooks EDR sur advapi32!RegCreateKeyEx sont facilement éludés ; l'ETW noyau ne l'est pas.

Exemples de syscalls directs

// Open / create HKCU\Software\Microsoft\Windows\CurrentVersion\Run via Nt path.
// Pair with NtSetValueKey to drop a persistence entry.
UNICODE_STRING path;
RtlInitUnicodeString(&path,
    L"\\Registry\\User\\<SID>\\Software\\Microsoft\\Windows\\CurrentVersion\\Run");

OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &path, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE hKey = NULL;
ULONG disposition = 0;
NTSTATUS s = NtCreateKey(&hKey, KEY_SET_VALUE, &oa,
                        0, NULL, REG_OPTION_NON_VOLATILE, &disposition);

NtCreateKey PROC
    mov  r10, rcx
    mov  eax, 1Dh
    syscall
    ret
NtCreateKey ENDP

// Cargo: ntapi = "0.4", winapi = { version = "0.3", features = ["winnt"] }
use ntapi::ntregapi::NtCreateKey;
use ntapi::ntrtl::RtlInitUnicodeString;
use winapi::shared::ntdef::{OBJECT_ATTRIBUTES, OBJ_CASE_INSENSITIVE, UNICODE_STRING};
use winapi::um::winnt::{KEY_SET_VALUE, REG_OPTION_NON_VOLATILE};
use std::ptr::null_mut;

pub unsafe fn open_run_key(sid_path: *const u16) -> *mut core::ffi::c_void {
    let mut us: UNICODE_STRING = core::mem::zeroed();
    RtlInitUnicodeString(&mut us, sid_path);
    let mut oa = OBJECT_ATTRIBUTES {
        Length: core::mem::size_of::<OBJECT_ATTRIBUTES>() as u32,
        RootDirectory: null_mut(),
        ObjectName: &mut us,
        Attributes: OBJ_CASE_INSENSITIVE,
        SecurityDescriptor: null_mut(),
        SecurityQualityOfService: null_mut(),
    };
    let mut h = null_mut();
    let mut disp = 0u32;
    NtCreateKey(&mut h, KEY_SET_VALUE, &mut oa, 0,
                null_mut(), REG_OPTION_NON_VOLATILE, &mut disp);
    h
}

Mappings MITRE ATT&CK

• T1547.001Registry Run Keys / Startup Foldermitre ↗
• T1546.012Image File Execution Options Injectionmitre ↗
• T1112Modify Registrymitre ↗