NtDeleteValueKey

Prototype

NTSTATUS NtDeleteValueKey(
  HANDLE          KeyHandle,
  PUNICODE_STRING ValueName
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 DF 00 00 00      mov eax, 0xDF
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Retire une cellule de valeur unique de la liste des valeurs de la clé parente. Le noyau supprime le CM_KEY_VALUE correspondant et libère sa cellule de données — pas de soft-delete ni de corbeille. Renvoie STATUS_OBJECT_NAME_NOT_FOUND si aucune valeur avec ce nom n'existe, ce qui signifie que sonder la présence d'une valeur en tentant sa suppression n'est *pas* sûr (elle est réellement supprimée). Le wrapper Win32 RegDeleteValueW est un simple shim.

Usage courant par les malwares

Anti-forensique et nettoyage *sélectif* de persistance. Quand la valeur Run de l'opérateur côtoie dix valeurs Run légitimes, supprimer toute la clé `Run` serait évident ; NtDeleteValueKey permet à l'implant de retirer uniquement sa propre valeur lors d'une désinstallation propre, ou lorsqu'une détection EDR s'est déclenchée et que l'opérateur veut limiter la traînée. Sert aussi à annuler des altérations de configuration — par ex. effacer une valeur de persistance juste avant qu'un script de triage SOC ne tourne, puis la recréer depuis une copie en mémoire.

Opportunités de détection

Haute-fidélité quand la cible est un *chemin de persistance connu* : Sysmon Event 12 (DeleteValue) sur `HKLM\Software\Microsoft\Windows\CurrentVersion\Run\*`, `RunOnce`, `Image File Execution Options`, ou tout `HKLM\SYSTEM\CurrentControlSet\Services\<X>\ImagePath` est anormal hors contextes GPO / SCCM. ETW Microsoft-Windows-Kernel-Registry émet DeleteValue avec le chemin de la clé parente et le nom de la valeur. Les EDR hookent CmRegisterCallbackEx → RegNtPreDeleteValueKey pour une visibilité bon marché. Une paire delete-then-recreate (Event 12 suivi d'Event 13 sur le même nom) en quelques secondes est un motif quasi-canonique de nettoyage de persistance.

Exemples de syscalls directs

// Delete only our value, leaving the host's other Run entries untouched.
UNICODE_STRING valueName;
RtlInitUnicodeString(&valueName, L"OneDriveUpdate");
NTSTATUS st = NtDeleteValueKey(hRunKey, &valueName);
if (st == STATUS_OBJECT_NAME_NOT_FOUND) {
    // Already gone; nothing to clean.
}

NtDeleteValueKey PROC
    mov  r10, rcx
    mov  eax, 0DFh
    syscall
    ret
NtDeleteValueKey ENDP

// Cargo: ntapi = "0.4", widestring = "1"
fn cleanup_persistence(h_run_key: HANDLE) {
    for name in ["OneDriveUpdate", "WinStoreHelper"] {
        let w = U16CString::from_str(name).unwrap();
        let mut us = UNICODE_STRING {
            Length: (w.len() * 2) as u16,
            MaximumLength: ((w.len() + 1) * 2) as u16,
            Buffer: w.as_ptr() as _,
        };
        unsafe { NtDeleteValueKey(h_run_key, &mut us); }
    }
}

Mappings MITRE ATT&CK

• T1112Modify Registrymitre ↗
• T1070.009Indicator Removal: Clear Persistencemitre ↗
• T1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup Foldermitre ↗