ntoskrnl.exeT1542.001T1106

NtSetSystemEnvironmentValue

Schreibt eine veraltete x86-BIOS/NV-RAM-Systemumgebungsvariable (Pre-UEFI-Schnittstelle).

Prototyp

NTSTATUS NtSetSystemEnvironmentValue(
  PUNICODE_STRING VariableName,
  PUNICODE_STRING VariableValue
);

Argumente

Name	Type	Dir	Description
VariableName	PUNICODE_STRING	in	UNICODE_STRING mit dem Variablennamen zum Schreiben. Wird über HAL-private NV-RAM-Speicher aufgelöst.
VariableValue	PUNICODE_STRING	in	UNICODE_STRING mit dem neuen Wert. Nulllänge löscht den Eintrag üblicherweise.

Syscall-IDs pro Windows-Version

Windows-Version	Syscall-ID	Build
Win10 1507	0x18C	win10-1507
Win10 1607	0x195	win10-1607
Win10 1703	0x19B	win10-1703
Win10 1709	0x19E	win10-1709
Win10 1803	0x1A0	win10-1803
Win10 1809	0x1A1	win10-1809
Win10 1903	0x1A2	win10-1903
Win10 1909	0x1A2	win10-1909
Win10 2004	0x1A8	win10-2004
Win10 20H2	0x1A8	win10-20h2
Win10 21H1	0x1A8	win10-21h1
Win10 21H2	0x1AA	win10-21h2
Win10 22H2	0x1AA	win10-22h2
Win11 21H2	0x1B3	win11-21h2
Win11 22H2	0x1B7	win11-22h2
Win11 23H2	0x1B7	win11-23h2
Win11 24H2	0x1BA	win11-24h2
Server 2016	0x195	winserver-2016
Server 2019	0x1A1	winserver-2019
Server 2022	0x1B0	winserver-2022
Server 2025	0x1BA	winserver-2025

Kernel-Modul

ntoskrnl.exe → NtSetSystemEnvironmentValue

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 BA 01 00 00      mov eax, 0x1BA
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Schreib-Pendant zu NtQuerySystemEnvironmentValue: veraltete BIOS-NV-RAM-Persistenz ohne GUID-Namensraum und mit 16-bit-Längenfeld. Erfordert SeSystemEnvironmentPrivilege, das standardmäßig nur SYSTEM und nach expliziter Aktivierung über RtlAdjustPrivilege auch Administratoren halten. Auf modernen UEFI-Maschinen lehnt die Firmware-Glue-Schicht solche Schreibzugriffe oft ab oder verwirft sie stillschweigend; echte Persistenzarbeit ist zu NtSetSystemEnvironmentValueEx migriert.

Häufige Malware-Nutzung

Geringer moderner Offensiv-Wert. Die interessante Persistenzoberfläche (Schreiben von EFI-Variablen, denen der OS-Loader vertraut, z. B. das LoJax-Muster) liegt im Ex-Pendant. Vereinzelte Legacy-/Altmaschinen-Implants und einige Firmware-Implant-PoCs haben diesen Aufruf zur BIOS-Schalter-Manipulation genutzt, in aktueller produktiver Tradecraft jedoch selten.

Legacy BIOS-era implants (negligible modern offensive use)

Erkennungsmöglichkeiten

Jeden erfolgreichen Aufruf als hochpräzises Signal behandeln: legitime Schreiber sind auf bcdedit-Klasse und OEM-Firmware-Management beschränkt. Auditiere den Privilegien-Aktivierungsübergang (SeSystemEnvironmentPrivilege-Anpassung via NtAdjustPrivilegesToken) — das ist der früheste Blue-Team-Engpass. ETW Microsoft-Windows-Kernel-General feuert Firmware-Zugriffsereignisse.

Direkte Syscall-Beispiele

asmx64 direct stub (Win11 24H2)

; Direct syscall stub for NtSetSystemEnvironmentValue (SSN 0x1BA, Win11 24H2)
NtSetSystemEnvironmentValue PROC
    mov  r10, rcx
    mov  eax, 1BAh
    syscall
    ret
NtSetSystemEnvironmentValue ENDP

cPrivilege enable + legacy write

// Enable SeSystemEnvironmentPrivilege first — otherwise the syscall returns STATUS_PRIVILEGE_NOT_HELD.
BOOLEAN was;
RtlAdjustPrivilege(SE_SYSTEM_ENVIRONMENT_PRIVILEGE, TRUE, FALSE, &was);

UNICODE_STRING name, value;
RtlInitUnicodeString(&name,  L"BootOrder");
RtlInitUnicodeString(&value, L"0001000200030004");

NTSTATUS s = NtSetSystemEnvironmentValue(&name, &value);
// On a UEFI box prefer NtSetSystemEnvironmentValueEx with a vendor GUID — modern firmware
// will not honour legacy-namespace writes.

MITRE ATT&CK-Mappings

Last verified: 2026-05-20