NtUnloadDriver

Prototyp

NTSTATUS NtUnloadDriver(
  PUNICODE_STRING DriverServiceName
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 D9 01 00 00      mov eax, 0x1D9
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtUnloadDriver ist das Gegenstück zu NtLoadDriver. Bei einem NT-Pfad auf einen Service-Key bittet es den I/O-Manager, die `DriverUnload`-Routine des Treibers aufzurufen und sein `DRIVER_OBJECT` aus `\Driver` zu entfernen. Das Treiber-Image wird aus dem Kernel-Adressraum entkartet und der entsprechende `MmUnloadedDrivers`-Slot gefüllt (der Kernel hält einen kleinen Ringpuffer der letzten ~50 entladenen Treibernamen — `!drvobj /unloaded` in WinDbg). NtUnloadDriver erfordert, dass das Caller-Token `SeLoadDriverPrivilege` hält, was Administratoren standardmäßig besitzen, Service-Konten aber selten.

Häufige Malware-Nutzung

Der definitorische Call beim **BYOVD-Cleanup (Bring Your Own Vulnerable Driver)**. Die klassische Kill-Chain: 1) einen signierten, aber verwundbaren Treiber aus einer hartkodierten Liste droppen (RTCore64, gdrv, mhyprot2, kArmor etc.); 2) NtLoadDriver, um den Service anzulegen und zu laden; 3) IOCTL in den Treiber, um EDR-Callbacks zu deaktivieren, geschützte Prozesse zu terminieren, in MSRs oder beliebigen Kernel-Speicher zu schreiben; 4) NtUnloadDriver, um den Treiber aus dem laufenden System zu entfernen und den forensischen Fußabdruck zu verkleinern. Familien: EDRKillShifter (RansomHub-Affiliate-Tooling), Spyboys Terminator, AvosLockers BYOVD-Modul, KillAV-Varianten, BlackBytes RTCore64-Missbrauch, Lazarus' FudModule-Rootkit-Loader. Der Unload ist *notwendig* — den verwundbaren Treiber geladen zu lassen ist ein lautes Detektionssignal für Kernel-Image-Enumeration.

Erkennungs­möglichkeiten

Wesentlich: Die meiste öffentliche BYOVD-Telemetrie konzentriert sich auf den *Load* (`Microsoft-Windows-Kernel-PnP` Event 400, Sysmon Event ID 6) — der *Unload* ist historisch unterinstrumentiert. Detektion stützt sich auf Korrelation: Sysmon Event 6 hat den initialen Load geloggt, und das Fehlen des Treiber-Images in nachfolgenden `Get-WindowsDriver` / `driverquery` / Kernel-Callback-Enumerationen ist das einzige Delta. `Microsoft-Windows-Kernel-PnP` Event 410 feuert beim Service-Stop. Die Vulnerable-Driver-Blocklist von Microsoft Defender (`DriverSiPolicy.p7b`) verhindert auf aktivierten Systemen den Load komplett — wenn vorhanden, scheitert der BYOVD-Pfad bei NtLoadDriver und NtUnloadDriver wird nie erreicht. ELAM und HVCI greifen ebenfalls am Load, nicht am Unload.

Direkte Syscall-Beispiele

; Direct syscall stub for NtUnloadDriver (SSN 0x1D9 on Win11 24H2)
NtUnloadDriver PROC
    mov  r10, rcx          ; DriverServiceName
    mov  eax, 1D9h         ; SSN — verify per-build
    syscall
    ret
NtUnloadDriver ENDP

// Final stage of a BYOVD chain: tear down the vulnerable driver and its service key.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtUnloadDriver)(PUNICODE_STRING);

BOOL BYOVDCleanup(PCWSTR ntServicePath /* L"\\Registry\\Machine\\System\\CurrentControlSet\\Services\\Vuln" */) {
    UNICODE_STRING us;
    RtlInitUnicodeString(&us, ntServicePath);

    pNtUnloadDriver fn = (pNtUnloadDriver)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtUnloadDriver");
    NTSTATUS s = fn(&us);

    // Best practice: also delete the service-key and the .sys on disk to slim forensics.
    // (omitted) RegDeleteTreeW + DeleteFileW
    return s >= 0;
}

// Cargo: ntapi = "0.4", widestring = "1"
use ntapi::ntioapi::NtUnloadDriver;
use ntapi::ntrtl::RtlInitUnicodeString;
use winapi::shared::ntdef::UNICODE_STRING;
use widestring::U16CString;

unsafe fn unload(svc_nt_path: &str) -> i32 {
    let w = U16CString::from_str(svc_nt_path).unwrap();
    let mut us: UNICODE_STRING = std::mem::zeroed();
    RtlInitUnicodeString(&mut us, w.as_ptr());
    NtUnloadDriver(&mut us)
}

MITRE ATT&CK-Mappings

• T1562.001Impair Defenses: Disable or Modify Toolsmitre ↗
• T1068Exploitation for Privilege Escalationmitre ↗
• T1070Indicator Removalmitre ↗