NtOpenKeyEx

Prototype

NTSTATUS NtOpenKeyEx(
  PHANDLE            KeyHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  ULONG              OpenOptions
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 2B 01 00 00      mov eax, 0x12B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtOpenKeyEx = `NtOpenKey + OpenOptions`. Les deux seules options pertinentes côté offensif sont `REG_OPTION_BACKUP_RESTORE` (`0x4`) — qui pousse le configuration manager à sauter le check DACL et à se reposer sur `SeBackupPrivilege`/`SeRestorePrivilege` de l'appelant — et `REG_OPTION_OPEN_LINK` (`0x8`) — qui ouvre une clé lien symbolique sans suivre la cible, permettant d'auditer les redirections. Le SSN dérive sensiblement d'une build à l'autre car des syscalls voisins ont été ajoutés/retirés : Win10 1909 = 0x11B, Win10 22H2 = 0x121, Win11 24H2 = 0x12B. Coder en dur les SSN est ici très fragile — Hell's Gate / Halo's Gate est obligatoire pour du multi-build.

Usage courant par les malwares

Deux patrons offensifs. (1) **Accès ruche via privilège** : avec `SeBackupPrivilege` actif (accordé à Administrators et Backup Operators), ouvrir avec `REG_OPTION_BACKUP_RESTORE` contourne la DACL de `\Registry\Machine\SAM` et `\Registry\Machine\SECURITY` sans avoir à impersonner SYSTEM — c'est ce que fait `reg.exe save HKLM\SAM` en interne, et ce dont dépendent la plupart des dumpers SAM modernes (module local SAM de CrackMapExec/NetExec, `secretsdump.py -local-auth`). (2) **Persistance consciente des symlinks** : implants APT enchaînent `NtOpenKeyEx` avec `REG_OPTION_OPEN_LINK` pour introspecter les liens symboliques registre posés par eux-mêmes ou par d'anciennes intrusions (IFEO redirigé vers des clés attaquantes, CLSID COM symlinkés vers HKCU). Les outils forensiques font le même audit avec le même flag.

Opportunités de détection

Mêmes fournisseurs que NtOpenKey — l'ETW Microsoft-Windows-Kernel-Registry journalise chaque open avec PID et accès. L'empreinte de `REG_OPTION_BACKUP_RESTORE` est visible : le processus appelant doit détenir `SeBackupPrivilege` *activé*, ce que Sysmon Event ID 4673 (Sensitive Privilege Use) enregistre à l'exercice — coupler l'usage de `SeBackupPrivilege` à un open ultérieur de `\Registry\Machine\SAM` ou `\Registry\Machine\SECURITY` donne un signal de SAM dump à très forte fidélité. Les EDR enregistrant `CmRegisterCallbackEx` voient la valeur OpenOptions dans `RegNtPreOpenKeyEx`. La règle `RegistryEvent` `Sensitive Registry Object` du template SwiftOnSecurity attrape ça. La sous-catégorie d'audit « Sensitive Privilege Use » (4673/4674) filtrée sur `SeBackupPrivilege` est la baseline la moins chère.

Exemples de syscalls directs

// Caller must first enable SeBackupPrivilege in its token.
#define REG_OPTION_BACKUP_RESTORE 0x00000004

UNICODE_STRING name;
RtlInitUnicodeString(&name, L"\\Registry\\Machine\\SAM");

OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE hKey = NULL;
NTSTATUS s = NtOpenKeyEx(&hKey, KEY_READ, &oa,
                         REG_OPTION_BACKUP_RESTORE);

; SSN drifts across builds — resolve dynamically when targeting multiple.
NtOpenKeyEx PROC
    mov  r10, rcx
    mov  eax, 12Bh         ; Win11 24H2
    syscall
    ret
NtOpenKeyEx ENDP

use ntapi::ntregapi::NtOpenKeyEx;
use ntapi::ntrtl::RtlInitUnicodeString;
use winapi::shared::ntdef::{HANDLE, OBJECT_ATTRIBUTES, OBJ_CASE_INSENSITIVE, UNICODE_STRING};

const REG_OPTION_OPEN_LINK: u32 = 0x0000_0008;

pub unsafe fn open_link(path: *const u16) -> Option<HANDLE> {
    let mut us: UNICODE_STRING = core::mem::zeroed();
    RtlInitUnicodeString(&mut us, path);
    let mut oa = OBJECT_ATTRIBUTES {
        Length: core::mem::size_of::<OBJECT_ATTRIBUTES>() as u32,
        RootDirectory: core::ptr::null_mut(),
        ObjectName: &mut us,
        Attributes: OBJ_CASE_INSENSITIVE,
        SecurityDescriptor: core::ptr::null_mut(),
        SecurityQualityOfService: core::ptr::null_mut(),
    };
    let mut h: HANDLE = core::ptr::null_mut();
    if NtOpenKeyEx(&mut h, 0x20019 /* KEY_READ */, &mut oa, REG_OPTION_OPEN_LINK) == 0 {
        Some(h)
    } else { None }
}

Mappings MITRE ATT&CK

• T1003.002OS Credential Dumping: Security Account Managermitre ↗
• T1003.004OS Credential Dumping: LSA Secretsmitre ↗
• T1012Query Registrymitre ↗
• T1134Access Token Manipulationmitre ↗