ntoskrnl.exeT1542.001T1106

NtQueryDriverEntryOrder

Liest die UEFI-DriverOrder-Liste der Plattform — die Reihenfolge, in der UEFI-Driver####-Einträge beim Boot laden.

Prototyp

NTSTATUS NtQueryDriverEntryOrder(
  PULONG Ids,
  PULONG Count
);

Argumente

Name	Type	Dir	Description
Ids	PULONG	out	Vom Aufrufer bereitgestellter Puffer für die geordnete Liste der Driver####-IDs.
Count	PULONG	in/out	Eingang: Kapazität von Ids in Einträgen. Ausgang: Anzahl zurückgegebener IDs.

Syscall-IDs pro Windows-Version

Windows-Version	Syscall-ID	Build
Win10 1507	0x12C	win10-1507
Win10 1607	0x132	win10-1607
Win10 1703	0x137	win10-1703
Win10 1709	0x13A	win10-1709
Win10 1803	0x13C	win10-1803
Win10 1809	0x13D	win10-1809
Win10 1903	0x13E	win10-1903
Win10 1909	0x13E	win10-1909
Win10 2004	0x144	win10-2004
Win10 20H2	0x144	win10-20h2
Win10 21H1	0x144	win10-21h1
Win10 21H2	0x145	win10-21h2
Win10 22H2	0x145	win10-22h2
Win11 21H2	0x14B	win11-21h2
Win11 22H2	0x14D	win11-22h2
Win11 23H2	0x14D	win11-23h2
Win11 24H2	0x14F	win11-24h2
Server 2016	0x132	winserver-2016
Server 2019	0x13D	winserver-2019
Server 2022	0x14A	winserver-2022
Server 2025	0x14F	winserver-2025

Kernel-Modul

ntoskrnl.exe → NtQueryDriverEntryOrder

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 4F 01 00 00      mov eax, 0x14F
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Pendant zur BCD-`NtQueryBootEntryOrder`-Familie, jedoch auf UEFI-**Treiber**-Einträge angewendet statt auf OS-Loader-Einträge. Die NVRAM-Variable DriverOrder bestimmt, welche Plattform-Treiber (Driver0000, Driver0001, ...) die Firmware lädt, bevor sie an den OS-Loader übergibt; das Lesen ist der Read-Only-Inspektionspfad. Erfordert SeSystemEnvironmentPrivilege. Auf Nicht-UEFI/CSM-Systemen liefert der Syscall STATUS_NOT_IMPLEMENTED. Der Befehl `bcdedit /enum FIRMWARE` ist die am häufigsten beobachtete Usermode-Oberfläche dieses Pfads.

Häufige Malware-Nutzung

Aufklärungswert beim firmware-fokussierten Tradecraft: ein Angreifer, der UEFI-Persistenz versuchen will, kann DriverOrder aufzählen, um (a) zu verstehen, welche OEM-/Plattform-Treiber zuerst laufen, (b) einen Slot mit ungenutzter Nummer zu identifizieren, damit ein platzierter Driver####-Eintrag aufgegriffen wird, oder (c) zu bestätigen, dass ein bereits platzierter Driver#### vor der OS-Loader-Übergabe steht. Mit NtQuerySystemEnvironmentValueEx zur vollständigen Aufzählung kombinieren. Read-Only für sich allein — kein direkter Kernel-Schaden.

Pre-attack UEFI reconnaissance (BlackLotus, MoonBounce, ESPecter)

Erkennungsmöglichkeiten

Das Volumen legitimer Aufrufe ist extrem gering — im Wesentlichen bcdedit.exe, manage-bde und OEM-Firmware-Tools. ETW Microsoft-Windows-Kernel-General protokolliert Firmware-Lesezugriffe einschließlich DriverOrder. Der Privilegien-Aktivierungsübergang (SeSystemEnvironmentPrivilege via NtAdjustPrivilegesToken) ist der früheste defensive Kontrollpunkt. Prozesskontext-Telemetrie mit dem Audit-Ereignis koppeln, um Usermode-Malware zu markieren, die Boot-Konfiguration aufzählt.

Direkte Syscall-Beispiele

asmx64 direct stub (Win11 24H2)

; Direct syscall stub for NtQueryDriverEntryOrder (SSN 0x14F, Win11 24H2)
NtQueryDriverEntryOrder PROC
    mov  r10, rcx
    mov  eax, 14Fh
    syscall
    ret
NtQueryDriverEntryOrder ENDP

cEnumerate UEFI DriverOrder

// Privilege gate first.
BOOLEAN was;
RtlAdjustPrivilege(SE_SYSTEM_ENVIRONMENT_PRIVILEGE, TRUE, FALSE, &was);

ULONG ids[32] = {0};
ULONG count = ARRAYSIZE(ids);
NTSTATUS s = NtQueryDriverEntryOrder(ids, &count);
if (NT_SUCCESS(s)) {
    for (ULONG i = 0; i < count; ++i) {
        // ids[i] is the Driver#### identifier in load order.
        // Pair with NtQuerySystemEnvironmentValueEx(L"Driver####", EFI_GLOBAL_VARIABLE,...)
        // to dereference each entry's device-path and load-options.
    }
}

MITRE ATT&CK-Mappings

Last verified: 2026-05-20