NtRenameKey

Prototype

NTSTATUS NtRenameKey(
  HANDLE          KeyHandle,
  PUNICODE_STRING NewName
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 81 01 00 00      mov eax, 0x181
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtRenameKey n'est pas documenté sur MSDN — Win32 n'expose aucun équivalent et Reflection.RegistryKey ne peut pas l'atteindre. L'opération est atomique dans CmRenameKey, qui appelle CmpDuplicateKeyValueInformation sur un KCB fraîchement créé puis détache l'ancien nom de la HHIVE du parent. Verrous tenus : HiveLock + verrou KCB du parent. Renvoie STATUS_OBJECT_NAME_COLLISION si un voisin avec NewName existe déjà.

Usage courant par les malwares

Rare en offensif. La niche plausible est l'*évasion d'allowlist* : les schémas de persistance qui font tourner le nom d'une valeur `Run` (ou le nom d'une clé sous `Image File Execution Options`) pour contourner des allowlists défenseurs qui cherchent des noms précis. On peut aussi l'utiliser pour renommer temporairement une clé liée à la sécurité pendant qu'une autre modification est en cours puis la renommer en arrière — mais ce motif se fait plus proprement avec NtSaveKey/NtRestoreKey. Signal honnête : la plupart des rapports publics de rotation registre utilisent NtSetValueKey pour changer un nom de valeur plutôt que NtRenameKey sur la clé elle-même.

Opportunités de détection

Bruit de fond réellement faible — pratiquement aucun logiciel légitime n'appelle NtRenameKey. ETW Microsoft-Windows-Kernel-Registry émet un événement de tâche RenameKey. Sysmon Event 12 (RegistryEvent CreateKey/DeleteKey) ne distingue pas proprement les renommages — cela apparaît comme un DeleteKey sur l'ancien chemin suivi d'un CreateKey sur le nouveau, avec le même KCB. CmRegisterCallbackEx livre RegNtPreRenameKey / RegNtPostRenameKey, ce qui est le point de hook le plus propre. Un seul RenameKey sous HKLM\SYSTEM\CurrentControlSet\Services ou HKLM\Software\Microsoft\Windows\CurrentVersion\Run mérite toujours enquête.

Exemples de syscalls directs

// Rotate the leaf name of HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Updater
// to evade trivial 'name == Updater' allowlists.
UNICODE_STRING newName;
RtlInitUnicodeString(&newName, L"WindowsUpdateHelper");
NTSTATUS st = NtRenameKey(hRunSubkey, &newName);
if (st == STATUS_OBJECT_NAME_COLLISION) {
    // sibling exists — pick a different rotated name
}

NtRenameKey PROC
    mov  r10, rcx
    mov  eax, 181h
    syscall
    ret
NtRenameKey ENDP

// Cargo: ntapi = "0.4", widestring = "1"
let name = U16CString::from_str("WindowsUpdateHelper")?;
let mut us = UNICODE_STRING {
    Length: (name.len() * 2) as u16,
    MaximumLength: ((name.len() + 1) * 2) as u16,
    Buffer: name.as_ptr() as _,
};
let status = unsafe { NtRenameKey(h_key, &mut us) };

Mappings MITRE ATT&CK

• T1112Modify Registrymitre ↗
• T1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup Foldermitre ↗
• T1106Native APImitre ↗