NtSetBootEntryOrder

Prototyp

NTSTATUS NtSetBootEntryOrder(
  PULONG Ids,
  ULONG  Count
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 96 01 00 00      mov eax, 0x196
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Das Schreib-Gegenstück zu NtQueryBootEntryOrder. Auf UEFI ruft der Kernel letztlich `EFI_SET_VARIABLE` gegen die globale `BootOrder`-Variable auf (Vendor-GUID `{8BE4DF61-93CA-11d2-AA0D-00E098032B8C}`) mit `EFI_VARIABLE_NON_VOLATILE | EFI_VARIABLE_BOOTSERVICE_ACCESS | EFI_VARIABLE_RUNTIME_ACCESS`. SeSystemEnvironmentPrivilege ist Pflicht und der Aufruf scheitert mit STATUS_INVALID_PARAMETER, wenn eine übergebene ID nicht existiert.

Häufige Malware-Nutzung

Der Schlussstein der BCD-basierten Bootkit-Installation: nachdem ein bösartiges `Boot####` per NtAddBootEntry registriert wurde, ist dies der Aufruf, der dem Angreifer den nächsten Reboot **sichert**, indem er diese ID an Position 0 hebt. Ohne diesen Schritt bleibt der Angreifer-Eintrag inaktiv — UEFI probiert den vorhandenen Windows Boot Manager zuerst und erreicht ihn nie. Die Umsortierung macht das Implant erst aktiv. BlackLotus, ESPecter und das TrickBoot-Modul beenden ihren Installationspfad jeweils mit dieser Primitive.

Erkennungs­möglichkeiten

**Hochpräzisester BCD-Indikator der Familie.** Jede Änderung an `BootOrder`, die einen nicht-Microsoft-, nicht-OEM-Recovery-Eintrag auf Slot 0 hebt, ist im Wesentlichen diagnostisch für einen Bootkit-Versuch. Überwachen: ETW Microsoft-Windows-Kernel-Boot-Reihenfolgeänderungs-Events, Sysmon-Registry-Events auf BCD-Schreibvorgängen und die EFI-`BootOrder`-Variable via periodischem CHIPSEC- oder Eclypsium-Scan. Verteidiger sollten Endpoints zusätzlich in **Measured Boot + Remote Attestation** einschreiben — die PCR[4]-Messungen (Hash des Boot-Manager-Image) und PCR[7] (Secure-Boot-Policy + Signaturen-DB-Hash) weichen bereits beim allerersten kompromittierten Boot von der erwarteten Baseline ab, bevor der Nutzer überhaupt angemeldet ist.

Direkte Syscall-Beispiele

NtSetBootEntryOrder PROC
    mov  r10, rcx          ; PULONG Ids
    mov  eax, 0196h        ; Win11 24H2
    syscall
    ret
NtSetBootEntryOrder ENDP

// PoC: read order, move our_id to the front, write back.
extern NTSTATUS NTAPI NtQueryBootEntryOrder(PULONG, PULONG);
extern NTSTATUS NTAPI NtSetBootEntryOrder(PULONG, ULONG);

NTSTATUS promote(ULONG our_id) {
    ULONG count = 0;
    NtQueryBootEntryOrder(NULL, &count);
    PULONG ids = (PULONG)HeapAlloc(GetProcessHeap(), 0, count * sizeof(ULONG));
    NtQueryBootEntryOrder(ids, &count);
    // find our_id, swap to front
    for (ULONG i = 0; i < count; ++i) {
        if (ids[i] == our_id) {
            memmove(&ids[1], &ids[0], i * sizeof(ULONG));
            ids[0] = our_id;
            break;
        }
    }
    NTSTATUS s = NtSetBootEntryOrder(ids, count);
    HeapFree(GetProcessHeap(), 0, ids);
    return s;
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_set_boot_entry_order(_ids: *const u32, _count: u32) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x196",  // Win11 24H2
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1542.003Pre-OS Boot: Bootkitmitre ↗
• T1542Pre-OS Bootmitre ↗
• T1106Native APImitre ↗