NtDeleteDriverEntry

Prototipo

NTSTATUS NtDeleteDriverEntry(
  ULONG Id
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 DA 00 00 00      mov eax, 0xDA
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Syscall de un único argumento. En UEFI el kernel emite un `EFI_SET_VARIABLE` con `DataSize = 0` contra la variable NVRAM `Driver####` correspondiente, semántica de eliminación definida por el firmware. Se requiere SeSystemEnvironmentPrivilege. El slot DriverOrder correspondiente debe limpiarse por separado vía NtSetSystemEnvironmentValueEx o seguirá referenciando una variable vacía.

Uso común por malware

Dos abusos complementarios. (1) **Limpieza**: tras un payload DXE que ha flasheado su segunda etapa a flash SPI o a un blob NVRAM oculto, el atacante elimina la DRIVER_ENTRY de bootstrap visible para que los `bcdedit /enum FIRMWARE` del defensor y los escaneos CHIPSEC ya no muestren una entrada anómala — el implante vive completamente en el firmware. (2) **Sabotaje**: el ransomware puede borrar entradas de controladores OEM recovery/diagnóstico (controladores DXE de actualización BIOS del proveedor) para inutilizar la ruta de actualización de firmware que la víctima usaría para restaurar la plataforma, complementando los wipers de MBR/GPT.

Oportunidades de detección

ETW Microsoft-Windows-Kernel-Boot registra la eliminación. La heurística de alto valor es la correlación a través de la flota: si un solo host de pronto tiene *menos* DRIVER_ENTRYs que sus pares idénticos en hardware en tu CMDB, ese delta es sospechoso. `tools.uefi.uefivar_fuzz`/`platform.smm_dma` de CHIPSEC y la baseline de Eclypsium pueden señalar la ausencia de entradas OEM esperadas. Auditar 4673 (SeSystemEnvironmentPrivilege) en el host donde ocurrió la eliminación para fijar el proceso padre.

Ejemplos de syscalls directos

NtDeleteDriverEntry PROC
    mov  r10, rcx          ; ULONG Id
    mov  eax, 0DAh         ; Win11 24H2
    syscall
    ret
NtDeleteDriverEntry ENDP

// Conceptual: after the DXE driver has executed once and written its persistent
// payload into SPI/NVRAM, remove the visible bootstrap entry.
extern NTSTATUS NTAPI NtDeleteDriverEntry(ULONG);

NTSTATUS hide_tracks(ULONG bootstrap_id) {
    NTSTATUS s = NtDeleteDriverEntry(bootstrap_id);
    // Caller must also rewrite DriverOrder via NtSetSystemEnvironmentValueEx.
    return s;
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_delete_driver_entry(_id: u32) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0xDA",   // Win11 24H2
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1542.001Pre-OS Boot: System Firmwaremitre ↗
• T1014Rootkitmitre ↗
• T1490Inhibit System Recoverymitre ↗