NtSerializeBoot

Prototyp

NTSTATUS NtSerializeBoot(VOID);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 95 01 00 00      mov eax, 0x195
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Performance-Diagnose-Primitiv: einmal vom Session Manager (smss.exe) und der Prefetcher-Infrastruktur aufgerufen, um zu signalisieren, dass die Bootphase abgeschlossen ist und der Kernel die im Speicher gehaltene Boot-Trace auf Disk serialisieren darf (z. B. für `xperf -on Base+Boot`-Sessions und den SuperFetch-Boot-Prefetcher). Keine Argumente, nichts zu fälschen. Aufruf außerhalb des legitimen One-Shot-Kontexts ist effektiv ein No-Op oder liefert STATUS_UNSUCCESSFUL. Microsoft-Dokumentation ist minimal, weil die Routine Teil des Prefetcher-Vertrags ist und nicht einer öffentlichen Win32-Oberfläche.

Häufige Malware-Nutzung

Minimaler Offensiv-Wert. Kein Privilege-Escalation-Primitiv, keine Informations-Disclosure jenseits dessen, was der Prefetcher ohnehin nach %SystemRoot%\Prefetch schreibt, keine Verhaltensänderung. Gelegentlich als Kuriosität in Syscall-Tabellen-Werkzeugen erwähnt, aber kein Teil dokumentierter Malware-TTPs.

Erkennungs­möglichkeiten

Als Baseline-Kuriosität behandeln. Der ETW-Provider Microsoft-Windows-Kernel-Prefetch protokolliert Prefetcher-Statusübergänge; wird NtSerializeBoot von etwas anderem als smss.exe (oder dem Prefetcher-Dienst) aufgerufen, ist das anomal, aber die praktische False-Positive-Kosten sind gering, weil der legitime Aufruferzähler eins ist. Verteidiger müssen das in der Regel nicht verfolgen — Telemetrie-Budget woanders einsetzen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtSerializeBoot (SSN 0x195, Win11 24H2)
NtSerializeBoot PROC
    mov  r10, rcx
    mov  eax, 195h
    syscall
    ret
NtSerializeBoot ENDP

// This is what smss.exe does once the boot phase completes. Calling it again from
// a user-mode process is a no-op in practice.
extern NTSTATUS NTAPI NtSerializeBoot(VOID);

NTSTATUS s = NtSerializeBoot();
// s == STATUS_SUCCESS only inside the one legitimate caller's lifetime.

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗