NtRestoreKey

Prototype

NTSTATUS NtRestoreKey(
  HANDLE  KeyHandle,
  HANDLE  FileHandle,
  ULONG   Flags
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 89 01 00 00      mov eax, 0x189
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtRestoreKey est l'inverse de NtSaveKey : il remplace le contenu d'une clé ouverte par ce que contient un fichier ruche. Avec `REG_FORCE_RESTORE` le noyau le fait même s'il existe des handles ouverts sur le sous-arbre de destination. L'appelant a besoin de **SeRestorePrivilege**. Le wrapper Win32 est `RegRestoreKeyW`. L'opération est atomique au niveau du bloc de ruche ; un échec partiel laisse la destination dans son état pré-restauration.

Usage courant par les malwares

Deux usages dominent. D'abord, **altération de persistance** : un attaquant ayant préparé un template Run-key connu peut écraser `HKLM\Software\Microsoft\Windows\CurrentVersion\Run` (ou un sous-arbre de configuration service) en bloc, remplaçant toutes les entrées en un seul syscall — utile pour planter une persistance *et* effacer les entrées concurrentes de malwares rivaux. Ensuite, **rollback après altération** : du red-team prend un snapshot NtSaveKey, modifie une clé, accomplit son travail, puis fait un rollback NtRestoreKey pour contourner l'audit de changements host-based. Moins courant : du ransomware s'en sert pour permuter en masse des chemins service-DLL avant reboot.

Opportunités de détection

L'ETW `Microsoft-Windows-Kernel-Registry` émet un événement load/restore distinct des événements value-set. Sysmon Event 13 se déclenche par valeur modifiée — un seul NtRestoreKey peut produire une *rafale* d'enregistrements Event 13 aux timestamps identiques sous la même clé, motif inhabituel qui mérite une règle. L'activation de SeRestorePrivilege (Sysmon 4673) juste avant une écriture registre est un indicateur précurseur fort. Astuce de chasse : alerter sur le flag REG_FORCE_RESTORE — quasiment jamais vu en logiciel bénin.

Exemples de syscalls directs

; Direct syscall stub for NtRestoreKey (SSN 0x189 on Win11 24H2 — drifts per build)
NtRestoreKey PROC
    mov  r10, rcx          ; KeyHandle
    mov  eax, 189h         ; SSN
    syscall
    ret
NtRestoreKey ENDP

// Overwrite HKLM\...\Run wholesale from a prepared hive file — useful for both
// persistence install and rival-eviction. Requires SeRestorePrivilege.
#include <windows.h>

LONG RestoreRunKey(LPCWSTR hivePath) {
    HKEY hRun = NULL;
    LONG s = RegOpenKeyExW(HKEY_LOCAL_MACHINE,
        L"Software\\Microsoft\\Windows\\CurrentVersion\\Run",
        0, KEY_ALL_ACCESS, &hRun);
    if (s != ERROR_SUCCESS) return s;
    // REG_FORCE_RESTORE (8) replaces even with open handles elsewhere.
    s = RegRestoreKeyW(hRun, hivePath, 8 /* REG_FORCE_RESTORE */);
    RegCloseKey(hRun);
    return s;
}

// Snap a key handle and a hive file handle, then restore atomically.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtRestoreKey)(HANDLE, HANDLE, ULONG);

NTSTATUS DoRestore(HANDLE hKey, HANDLE hFile, ULONG flags) {
    pNtRestoreKey fn = (pNtRestoreKey)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtRestoreKey");
    return fn(hKey, hFile, flags);
}

Mappings MITRE ATT&CK

• T1112Modify Registrymitre ↗
• T1547.001Registry Run Keys / Startup Foldermitre ↗
• T1106Native APImitre ↗