NtLoadKeyEx

Prototype

NTSTATUS NtLoadKeyEx(
  POBJECT_ATTRIBUTES TargetKey,
  POBJECT_ATTRIBUTES SourceFile,
  ULONG              Flags,
  HANDLE             TrustClassKey,
  HANDLE             Event,
  ACCESS_MASK        DesiredAccess,
  PHANDLE            RootHandle,
  PIO_STATUS_BLOCK   IoStatusBlock
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 13 01 00 00      mov eax, 0x113
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

`NtLoadKeyEx` est la primitive moderne canonique de chargement de ruche. Deux APIs Win32 s'appuient dessus : `RegLoadKeyW` (montage admin classique sous HKLM / HKU, nécessite `SeRestorePrivilege`) et le bien plus intéressant `RegLoadAppKeyW` (ruche privée par processus / par fichier, **sans privilège requis** — fonctionne depuis un AppContainer en intégrité basse). La combinaison `REG_APP_HIVE | REG_PROCESS_PRIVATE | REG_LOAD_HIVE_OPEN_HANDLE` pilote la couche de virtualisation registre AppContainer / Centennial ; chaque package UWP reçoit une ruche privée sous `\Registry\WC\<package>` invisible aux autres processus. Le handler noyau est `CmLoadKey` (`ntoskrnl.exe`), gardé par `CmpCheckLoadHiveAccess`.

Usage courant par les malwares

Deux voies d'abus distinctes. (1) **Admin / post-exploitation** : même parsing offline SAM/SYSTEM/SECURITY que `NtLoadKey` — l'opérateur copie la ruche via VSS ou `reg save HKLM\SAM`, puis la monte sous HKU avec `NtLoadKeyEx`. (2) **Loaders AppContainer-aware** : un malware tournant dans un UWP sandboxé / un renderer Edge / un contexte MSIX peut utiliser `REG_APP_HIVE` pour instancier une ruche privée adossée à un fichier écrivable sous son répertoire de données de package — utile comme cache de staging ou de configuration survivant au reboot sans toucher HKCU ni déclencher `RegSetValueEx` sur des clés surveillées. Des loaders style Phantom DLL Hollowing utilisent aussi `REG_APP_HIVE | REG_OPEN_READ_ONLY` pour monter une ruche dont le fichier source est un blob `.dat` chargé de payload.

Opportunités de détection

Posture blue-team identique à `NtLoadKey`/`NtLoadKey2` : l'événement ETW `Microsoft-Windows-Kernel-Registry` ID 9 (HiveLoaded) est la source faisant autorité. Le signal de qualité est le chemin du *fichier source* — `RegLoadAppKeyW` charge légitimement des fichiers sous `C:\Users\<u>\AppData\Local\Packages\<pkg>\Settings\settings.dat`, tout le reste (en particulier ruche sous `C:\Windows\Temp`, `\ProgramData\` ou blob téléchargé) est anormal. À coupler avec Sysmon Event ID 11 (FileCreate) sur des écritures `*.dat`/`*.hve` dans des répertoires suspects et Event ID 1 (Process Create) montrant l'activation de `SeRestorePrivilege` pour les montages d'arbre complet.

Exemples de syscalls directs

; Direct syscall stub for NtLoadKeyEx (SSN 0x113 on Win11 24H2)
NtLoadKeyEx PROC
    mov  r10, rcx          ; TargetKey
    mov  eax, 113h         ; SSN — drifts per build
    syscall
    ret
NtLoadKeyEx ENDP

// Replicates what RegLoadAppKeyW does internally. Works from Low-IL AppContainers.
#include <windows.h>
#include <winternl.h>

#define REG_APP_HIVE                0x00000010
#define REG_PROCESS_PRIVATE         0x00000020
#define REG_LOAD_HIVE_OPEN_HANDLE   0x00000800

typedef NTSTATUS (NTAPI *pNtLoadKeyEx)(
    POBJECT_ATTRIBUTES, POBJECT_ATTRIBUTES, ULONG,
    HANDLE, HANDLE, ACCESS_MASK, PHANDLE, PIO_STATUS_BLOCK);

HANDLE LoadPrivateHive(LPCWSTR ntHiveFile) {
    HANDLE hRoot = NULL;
    IO_STATUS_BLOCK iosb = {0};
    UNICODE_STRING uMount, uFile;
    OBJECT_ATTRIBUTES oaMount, oaFile;
    // Mount path is irrelevant under REG_APP_HIVE | REG_PROCESS_PRIVATE
    RtlInitUnicodeString(&uMount, L"\\REGISTRY\\A\\{00000000-0000-0000-0000-000000000000}");
    RtlInitUnicodeString(&uFile,  ntHiveFile);
    InitializeObjectAttributes(&oaMount, &uMount, OBJ_CASE_INSENSITIVE, NULL, NULL);
    InitializeObjectAttributes(&oaFile,  &uFile,  OBJ_CASE_INSENSITIVE, NULL, NULL);
    pNtLoadKeyEx fn = (pNtLoadKeyEx)GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtLoadKeyEx");
    fn(&oaMount, &oaFile,
       REG_APP_HIVE | REG_PROCESS_PRIVATE | REG_LOAD_HIVE_OPEN_HANDLE,
       NULL, NULL, KEY_ALL_ACCESS, &hRoot, &iosb);
    return hRoot;  // HKEY-equivalent, usable with NtOpenKey / NtSetValueKey
}

// Cargo: windows-sys = { version = "0.59", features = [
//   "Win32_Foundation", "Win32_System_Registry", "Win32_Security" ] }
use windows_sys::Win32::System::Registry::{RegLoadKeyW, HKEY_LOCAL_MACHINE};
use windows_sys::core::PCWSTR;

fn mount_offline_system(hive_path_utf16: &[u16], subkey_utf16: &[u16]) -> i32 {
    // RegLoadKeyW → NtLoadKeyEx with Flags=0, TrustClassKey=NULL,
    // no REG_LOAD_HIVE_OPEN_HANDLE. Requires SeRestorePrivilege+SeBackupPrivilege.
    unsafe {
        RegLoadKeyW(HKEY_LOCAL_MACHINE,
                    subkey_utf16.as_ptr() as PCWSTR,
                    hive_path_utf16.as_ptr() as PCWSTR) as i32
    }
}

Mappings MITRE ATT&CK

• T1003.002OS Credential Dumping: Security Account Managermitre ↗
• T1574Hijack Execution Flowmitre ↗
• T1106Native APImitre ↗