NtAddDriverEntry

Prototyp

NTSTATUS NtAddDriverEntry(
  PEFI_DRIVER_ENTRY DriverEntry,
  PULONG            Id
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 6B 00 00 00      mov eax, 0x6B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

EFI_DRIVER_ENTRY ist strukturell identisch zu BOOT_ENTRY, adressiert aber den UEFI-**DriverOrder**-Namespace statt BootOrder. UEFI dispatcht jede in `DriverOrder` gelistete `Driver####`-Variable während der DXE/BDS-Phase — *bevor* irgendein Boot-Manager läuft. Der Kernel erreicht die Firmware über `HalSetEnvironmentVariableEx` mit Vendor-GUID `{8BE4DF61-93CA-11d2-AA0D-00E098032B8C}`. SeSystemEnvironmentPrivilege erforderlich; auf den meisten OEM-Firmwares verlangt der Variablen-Schreibvorgang zusätzlich, dass Secure Boot deaktiviert ist oder die Binärsignatur akzeptiert.

Häufige Malware-Nutzung

Noch gefährlicher als Boot-Entry-Persistenz: ein UEFI-Treiber läuft im **EFI-Boot-Services-Kontext**, in der Flat-Memory-CPL0-Umgebung der Firmware, **vor ExitBootServices**, bevor der Windows-Kernel geladen ist und damit vor PatchGuard, DSE, HVCI oder jedem EDR. Dies ist der Persistenzvektor von MosaicRegressor / LoJax (APT28), das einen bösartigen DXE-Treiber per `SetVariable` registrierte, und von MoonBounce (APT41), das Code in CORE_DXE platzierte. ESPecter und das CosmicStrand-SPI-Implant persistieren letztlich ebenfalls als DXE-Treiber. Eine erfolgreich registrierte DRIVER_ENTRY verschafft Angreifern dauerhafte Pre-OS-Codeausführung, die Disk-Wipe und Windows-Neuinstallation überlebt.

Erkennungs­möglichkeiten

ETW Microsoft-Windows-Kernel-Boot protokolliert DRIVER_ENTRY-Änderungen zusammen mit BOOT_ENTRY-Änderungen. Die wertvollste Einzelmaßnahme ist **Measured Boot + Remote Attestation**: jeder dispatchete UEFI-DXE-Treiber erweitert PCR[2], sodass ein bislang nicht gesehener Treiber-Hash die Attestation gegen die geräteseitig erfasste Baseline scheitern lässt. CHIPSECs `tools.uefi.scan_image` und `common.bios_kbrd_buffer` sowie Eclypsiums Firmware-Monitoring entdecken bösartige DXE-Binaries auf der Disk. Windows selbst loggt Event ID 1035 (Microsoft-Windows-TPM-WMI) bei PCR-Abweichungen, wenn die BitLocker-Wiederherstellung ausgelöst wird. Audit 4673 auf SeSystemEnvironmentPrivilege-Nutzung erfasst den In-OS-Staging-Schritt.

Direkte Syscall-Beispiele

NtAddDriverEntry PROC
    mov  r10, rcx          ; PEFI_DRIVER_ENTRY
    mov  eax, 6Bh          ; Win11 24H2
    syscall
    ret
NtAddDriverEntry ENDP

// Structurally mirrors NtAddBootEntry but targets DriverOrder.
// Practical use requires SeSystemEnvironmentPrivilege and Secure Boot bypass / disable.
extern NTSTATUS NTAPI NtAddDriverEntry(PEFI_DRIVER_ENTRY, PULONG);

NTSTATUS plant_driver(void) {
    BYTE buf[512] = {0};
    PEFI_DRIVER_ENTRY de = (PEFI_DRIVER_ENTRY)buf;
    de->Version    = 1;
    de->Length     = sizeof(buf);
    de->Attributes = 0;
    de->FriendlyNameOffset = FIELD_OFFSET(EFI_DRIVER_ENTRY, OsOptions);
    wcscpy_s((wchar_t*)(buf + de->FriendlyNameOffset), 32, L"Diagnostic DXE");
    ULONG id = 0;
    return NtAddDriverEntry(de, &id);
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_add_driver_entry(_entry: *mut u8, _id: *mut u32) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x6B",   // Win11 24H2
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1542.001Pre-OS Boot: System Firmwaremitre ↗
• T1542.003Pre-OS Boot: Bootkitmitre ↗
• T1014Rootkitmitre ↗