reg.exe è un'utilità a riga di comando integrata in Windows per lavorare con il Registro. Gli amministratori lo usano per interrogare le chiavi, aggiungere o eliminare valori, importare impostazioni ed esportare i dati del Registro in un file per il backup o la risoluzione dei problemi. Poiché è uno strumento nativo, spesso si confonde con l'attività normale del sistema.
Questa legittimità è anche il motivo per cui piace agli attaccanti. Nelle attività post-exploitation, reg.exe può essere usato per copiare hive sensibili del Registro, raccogliere dati di configurazione o predisporre materiale per il furto di credenziali e la persistenza. I difensori lo monitorano quando viene eseguito da processi padre insoliti, sotto account con privilegi elevati o insieme a un accesso sospetto agli hive SAM, SYSTEM o SECURITY. Il contesto conta: un comando amministrativo innocuo può diventare un forte segnale di intrusione quando appare durante la compromissione di un'applicazione o sotto un account di servizio che non dovrebbe mai accedere a tali artefatti.