NtQueryKey

Prototype

NTSTATUS NtQueryKey(
  HANDLE                KeyHandle,
  KEY_INFORMATION_CLASS KeyInformationClass,
  PVOID                 KeyInformation,
  ULONG                 Length,
  PULONG                ResultLength
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 16 00 00 00      mov eax, 0x16
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Fait notable, le SSN de NtQueryKey est figé à `0x16` de Windows 10 1507 à Windows 11 24H2 — l'un des numéros les plus stables de la SSDT, ce qui rend un SSN codé en dur sûr d'un build à l'autre. La variante KEY_FULL_INFORMATION renvoie LastWriteTime sous forme de FILETIME, le nombre de sous-clés / valeurs, et les longueurs maximales — les mêmes chiffres sur lesquels `reg query` et `regjump` s'appuient.

Usage courant par les malwares

Trois saveurs d'abus. (1) *Évasion de la détection de timestomp* : un opérateur peut lire LastWriteTime avant de toucher une valeur, puis le restaurer via NtSetInformationKey (KeyWriteTimeInformation). (2) *Outillage d'énumération* : les implants qui parcourent le registre combinent NtEnumerateKey + NtQueryKey pour récurser un sous-arbre et identifier des cibles à forte valeur (autoruns, services, shims AppCompat). (3) *Fingerprinting de sandbox* : interroger des clés comme `HKLM\HARDWARE\DESCRIPTION\System\BIOS` et inspecter LastWriteTime pour détecter des VMs d'analyse récemment construites.

Opportunités de détection

NtQueryKey seul est du bruit de fond à très haut volume — Explorer à lui seul l'appelle des dizaines de milliers de fois par heure. Le signal exploitable est l'*écriture* qui suit : KeyWriteTimeInformation positionné via NtSetInformationKey est rare en charge légitime et quasi-diagnostique d'un timestomp. Les EDR qui hookent CmRegisterCallbackEx voient RegNtPostQueryKey mais la plupart l'ignorent pour des raisons de coût. ETW Microsoft-Windows-Kernel-Registry expose RegistryQueryKey mais c'est désactivé par défaut. Astuce hunt : un inventaire de handles processus montrant un binaire non-Explorer / non-svchost détenant des centaines de handles registre ouverts est une meilleure piste qu'un appel NtQueryKey isolé.

Exemples de syscalls directs

// Capture the original LastWriteTime before tampering with a value,
// so it can be restored via NtSetInformationKey afterward.
KEY_BASIC_INFORMATION* kbi = (KEY_BASIC_INFORMATION*)buf;
ULONG ret = 0;
NTSTATUS st = NtQueryKey(hKey, KeyBasicInformation, kbi, sizeof(buf), &ret);
if (NT_SUCCESS(st)) {
    g_savedWriteTime = kbi->LastWriteTime;
}

NtQueryKey PROC
    mov  r10, rcx
    mov  eax, 16h
    syscall
    ret
NtQueryKey ENDP

// Cargo: ntapi = "0.4"
let mut needed: u32 = 0;
let status = unsafe {
    NtQueryKey(h_key,
        KeyFullInformation,
        null_mut(),
        0,
        &mut needed)
};
assert_eq!(status, STATUS_BUFFER_TOO_SMALL as i32);
let mut buf = vec![0u8; needed as usize];
let status = unsafe {
    NtQueryKey(h_key,
        KeyFullInformation,
        buf.as_mut_ptr() as _,
        buf.len() as u32,
        &mut needed)
};
assert!(status == 0);

Mappings MITRE ATT&CK

• T1012Query Registrymitre ↗
• T1082System Information Discoverymitre ↗
• T1497Virtualization/Sandbox Evasionmitre ↗