NtLoadDriver

Prototyp

NTSTATUS NtLoadDriver(
  PUNICODE_STRING DriverServiceName
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 0E 01 00 00      mov eax, 0x10E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Ein-Argument-Syscall, der den **NT-Registry-Pfad** auf den Service-Key des Treibers nimmt — *nicht* einen Dateisystempfad auf die .sys-Datei. Der Kernel liest `ImagePath`, `Type`, `Start`, `Group` und weitere Einträge aus diesem Key, lädt das Image mit `MmLoadSystemImage`, ruft `DriverEntry` auf und fügt den Treiber in die `PsLoadedModuleList` ein. Der Aufrufer benötigt `SeLoadDriverPrivilege` (standardmäßig Administrators, Print Operators) und das Privileg muss im Thread-Token **aktiviert** sein — das ist die einzige harte Voraussetzung. Die SSN driftet stark zwischen Builds (0xF5 → 0x10E), dynamische Auflösung ist Pflicht. So geladene Treiber sind *demand-start* (Type=3), was in PnP-Telemetrie anders erscheint als `Start=2`-Services (Auto), die der SCM beim Boot startet.

Häufige Malware-Nutzung

Der **BYOVD-Einstieg (Bring Your Own Vulnerable Driver)** — der Syscall, in dem jede Kernel-Level-Attacke auf einem modernen Windows-Host irgendwann mündet. Vollständige Kette: (1) den verwundbaren, aber Microsoft-signierten Treiber (RTCore64.sys, gdrv.sys, mhyprot2.sys, dbutil_2_3.sys, procexp152.sys, kprocesshacker.sys etc.) auf Platte droppen; (2) Service-Key unter `\Registry\Machine\System\CurrentControlSet\Services\<RandomName>` mit `ImagePath=\??\C:\path\drv.sys`, `Type=1`, `Start=3` anlegen (entweder direkt via NtSetValueKey oder über das lauterer `OpenSCManager`+`CreateServiceW`); (3) `SeLoadDriverPrivilege` via `NtAdjustPrivilegesToken` aktivieren; (4) NtLoadDriver mit dem Service-Key-Pfad aufrufen; (5) `\\.\<DeviceName>` öffnen und IOCTLs via `NtDeviceIoControlFile` senden. Derselbe Syscall wird auch für **Rootkit-Installation (T1014)** missbraucht — Necurs, FU, TDL3/4 und GrayFish der Equation Group luden ihre Kernel-Komponenten alle so. Legitime Service-Treiber-Persistenz (T1543.003) nutzt denselben Call, jedoch via SCM.

Erkennungs­möglichkeiten

**Höchste Treiber-Load-Telemetrie unter Windows** und der von EDRs am intensivsten beobachtete Syscall. Quellen: (a) **Microsoft-Windows-Kernel-PnP**-ETW (`{9C205A39-1250-487D-ABD7-E831C6290539}`) emittiert ein Load-Event mit Image-Pfad, Signaturdetails und ladendem Prozess; (b) **Sysmon Event ID 6 (DriverLoad)** — Image, Hash, Signiert/unsigniert, Signierer; (c) **Security Event 4673/4674** bei Nutzung von `SeLoadDriverPrivilege`; (d) **PsSetLoadImageNotifyRoutine** feuert für *jedes* Image-Load inkl. Treiber und füttert jeden modernen EDR. Microsofts Vulnerable Driver Blocklist (`HVCI` + Code-Integrity-Policy `SiPolicy.p7b`, seit Windows 11 22H2 und Server 2022 standardmäßig aktiv) blockt die öffentlich bekannten BYOVD-Familien per Hash vor dem Load; LOLDrivers.io pflegt die Community-Hash-Liste. Hochwertige Hunts: jeder NtLoadDriver-Aufruf durch einen Prozess, der < 60 s lebt; jeder Treiber, der außerhalb `%SystemRoot%\System32\drivers` geladen wird; jeder Treiber, dessen Signierer auf LOLDrivers steht; jeder Service-Key, der < 5 Minuten vor NtLoadDriver angelegt wurde. Microsoft Defenders ASR-Regel `Block abuse of exploited vulnerable signed drivers` (D1E49AAC-8F56-4280-B9BA-993A6D77406C) blockt den Katalog aktiv.

Direkte Syscall-Beispiele

// 1) Caller has already enabled SeLoadDriverPrivilege in its token.
// 2) Service registry entry has been written under HKLM\SYSTEM\CurrentControlSet\Services\Evil:
//      ImagePath = \??\C:\Users\Public\rtcore64.sys
//      Type      = 1            (kernel driver)
//      Start     = 3            (demand)
//      ErrorCtrl = 1

UNICODE_STRING svc;
RtlInitUnicodeString(&svc,
    L"\\Registry\\Machine\\System\\CurrentControlSet\\Services\\Evil");

NTSTATUS s = NtLoadDriver(&svc);
// On success the driver's DriverEntry has run and \\.\RTCore64 is now openable.

; SSN heavily build-dependent. Always resolve dynamically for portable code.
NtLoadDriver PROC
    mov  r10, rcx
    mov  eax, 10Eh         ; Win11 24H2
    syscall
    ret
NtLoadDriver ENDP

// Cargo: ntapi = "0.4", winapi = { version = "0.3", features = ["ntdef","ntsecapi"] }
use ntapi::ntpsapi::NtCurrentProcess;
use ntapi::ntrtl::RtlInitUnicodeString;
use winapi::shared::ntdef::{HANDLE, UNICODE_STRING};

extern "system" {
    fn NtLoadDriver(name: *mut UNICODE_STRING) -> i32;
    fn NtOpenProcessToken(p: HANDLE, da: u32, t: *mut HANDLE) -> i32;
    fn NtAdjustPrivilegesToken(
        t: HANDLE, dis: u8, n: *mut u8, len: u32,
        prev: *mut u8, ret: *mut u32) -> i32;
}

pub unsafe fn byovd_load(service_key_nt_path: *const u16) -> i32 {
    // 1) enable SeLoadDriverPrivilege in our own token (token plumbing omitted)
    // 2) issue the load
    let mut us: UNICODE_STRING = core::mem::zeroed();
    RtlInitUnicodeString(&mut us, service_key_nt_path);
    NtLoadDriver(&mut us)
}

MITRE ATT&CK-Mappings

• T1068Exploitation for Privilege Escalationmitre ↗
• T1543.003Create or Modify System Process: Windows Servicemitre ↗
• T1014Rootkitmitre ↗
• T1562.001Impair Defenses: Disable or Modify Toolsmitre ↗