NtSetDriverEntryOrder

Prototyp

NTSTATUS NtSetDriverEntryOrder(
  PULONG Ids,
  ULONG  Count
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 9F 01 00 00      mov eax, 0x19F
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Schreib-Pendant zu NtQueryDriverEntryOrder. Zusammen mit NtAddDriverEntry / NtModifyDriverEntry / NtDeleteDriverEntry bildet er die vollständige programmatische Oberfläche für die UEFI-NVRAM-Variable DriverOrder. Erfordert SeSystemEnvironmentPrivilege. Auf moderner UEFI-Hardware mit erzwungenem Secure Boot erfordert das Platzieren eines bösartigen Driver####-Eintrags, den die Firmware tatsächlich ausführt, immer noch, dass das EFI-Binary selbst von einem db-Key signiert ist — der Syscall ist also notwendig, aber nicht hinreichend für Firmware-Persistenz. STATUS_NOT_IMPLEMENTED auf Legacy-BIOS-/CSM-only-Systemen.

Häufige Malware-Nutzung

Persistenz-Promotion-Schritt für UEFI-bewusste Bedrohungen: nach dem Platzieren eines Driver####-Eintrags (via NtAddDriverEntry) ruft der Angreifer NtSetDriverEntryOrder, um sicherzustellen, dass sein Eintrag *vor* der vertrauenswürdigen OS-Loader-Übergabe läuft und ein bösartiger UEFI-Treiber kritische EFI-Boot-Services (LoadImage, StartImage, ExitBootServices) hooken und in den Kernelkontext überleben kann. BlackLotus' Kette stützt sich konzeptionell auf solche Reihenfolge-Manipulationen, auch wenn die primäre Persistenz einen separaten `revocations.efi`/MOK-Pfad nutzte. CosmicStrand veränderte die Firmware-Boot-Reihenfolge auf Chip-Ebene statt über diesen Syscall; der Syscall-Pfad ist eher typisch für Supply-Chain-Implants, die über OEM-Update-Tools verteilt werden.

Erkennungs­möglichkeiten

Jeder erfolgreiche Aufruf ist hochpräzises Signal. ETW Microsoft-Windows-Kernel-General feuert Firmware-Schreibereignisse. Vergleiche DriverOrder vor/nach via Baseline-Snapshots — die Boot-Integrity-Dashboards von Microsoft Defender for Endpoint alarmieren bei Änderungen. Die Privilegien-Aktivierungs-Spur (SeSystemEnvironmentPrivilege) ist der kostengünstigste defensive Kontrollpunkt. Windows 11 24H2 / Server 2025 System Guard Secure Launch erkennt unerwartete DriverOrder-Änderungen via das Measured-Boot-Log und meldet über Microsoft-Windows-Kernel-Boot.

Direkte Syscall-Beispiele

; Direct syscall stub for NtSetDriverEntryOrder (SSN 0x19F, Win11 24H2)
NtSetDriverEntryOrder PROC
    mov  r10, rcx
    mov  eax, 19Fh
    syscall
    ret
NtSetDriverEntryOrder ENDP

// Educational. Real bootkits still need a signed (or signature-bypass) EFI binary.
// 1. attacker added Driver1234 via NtAddDriverEntry pointing at \EFI\evil.efi
// 2. query current order, prepend 0x1234, write it back.
BOOLEAN was;
RtlAdjustPrivilege(SE_SYSTEM_ENVIRONMENT_PRIVILEGE, TRUE, FALSE, &was);

ULONG existing[32];
ULONG count = ARRAYSIZE(existing);
if (!NT_SUCCESS(NtQueryDriverEntryOrder(existing, &count))) return -1;

ULONG reordered[33] = { 0x1234 };
RtlCopyMemory(&reordered[1], existing, count * sizeof(ULONG));

NTSTATUS s = NtSetDriverEntryOrder(reordered, count + 1);

MITRE ATT&CK-Mappings

• T1542.001Pre-OS Boot: System Firmwaremitre ↗
• T1542.003Pre-OS Boot: Bootkitmitre ↗
• T1547Boot or Logon Autostart Executionmitre ↗