NtFlushKey

Prototype

NTSTATUS NtFlushKey(
  HANDLE  KeyHandle
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 F2 00 00 00      mov eax, 0xF2
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtFlushKey commit toutes les modifications en mémoire pour la *ruche* contenant la clé fournie vers son fichier disque. Malgré la signature par clé, le noyau flushe toute la ruche — le configuration manager ne maintient pas de dirty bits par clé à la granularité du flush. Différence avec `NtFlushBuffersFile` : ce dernier cible un fichier via FILE_OBJECT, NtFlushKey cible une ruche via un handle de clé. Le wrapper Win32 est `RegFlushKey`. Le lazy flusher écrit normalement les ruches sales toutes les cinq secondes (`CmpLazyFlushIntervalInSeconds`) ; NtFlushKey force l'écriture immédiate.

Usage courant par les malwares

Le pattern d'abus principal est l'**anti-forensique autour de la persistance** : après écriture d'une Run key, config de tâche planifiée, entrée de service ou valeur de COM-hijack, le malware appelle NtFlushKey pour garantir que la modification est persistée sur disque *avant* le prochain reboot non propre — important quand la fenêtre de lazy-flush est plus large que la fenêtre d'opportunité attendue (exploit déclenchant un BSOD, hard reset planifié, ransomware tueur d'hôte). Pattern secondaire : certains droppers flushent une entrée autorun fraîchement écrite, puis suppriment immédiatement le binaire référencé sur disque, laissant les métadonnées Run-key pointer sur un contenu peut-être absent au boot — petite nuisance anti-analyse.

Opportunités de détection

Seul, NtFlushKey est sans intérêt — explorer.exe et de nombreux drivers l'appellent en routine. Le signal utile est la *séquence* : Sysmon Event 13 (set de valeur registre) sur une clé de persistance connue, immédiatement suivi d'un flush depuis le même PID, surtout si ce PID est non signé ou récemment créé. L'ETW `Microsoft-Windows-Kernel-Registry` expose les événements flush avec chemin de clé et PID. Corréler avec Sysmon Event 11 (create / delete de fichier) sur le binaire référencé par l'entrée de persistance.

Exemples de syscalls directs

; Direct syscall stub for NtFlushKey (SSN 0xF2 on Win11 24H2 — drifts per build)
NtFlushKey PROC
    mov  r10, rcx          ; KeyHandle
    mov  eax, 0F2h         ; SSN
    syscall
    ret
NtFlushKey ENDP

// Write a Run key and immediately flush — defeats lazy-flush race on hard reboot.
#include <windows.h>

LONG PersistAndFlush(LPCWSTR name, LPCWSTR cmd) {
    HKEY hRun = NULL;
    LONG s = RegCreateKeyExW(HKEY_CURRENT_USER,
        L"Software\\Microsoft\\Windows\\CurrentVersion\\Run",
        0, NULL, 0, KEY_SET_VALUE, NULL, &hRun, NULL);
    if (s != ERROR_SUCCESS) return s;
    s = RegSetValueExW(hRun, name, 0, REG_SZ,
                       (const BYTE*)cmd,
                       (DWORD)((wcslen(cmd) + 1) * sizeof(WCHAR)));
    if (s == ERROR_SUCCESS) RegFlushKey(hRun);   // ← NtFlushKey under the hood
    RegCloseKey(hRun);
    return s;
}

// Cargo: ntapi = "0.4"
use ntapi::ntregapi::NtFlushKey;
use winapi::shared::ntdef::{HANDLE, NTSTATUS};

unsafe fn flush(key: HANDLE) -> NTSTATUS {
    NtFlushKey(key)
}

Mappings MITRE ATT&CK

• T1547.001Registry Run Keys / Startup Foldermitre ↗
• T1112Modify Registrymitre ↗
• T1106Native APImitre ↗