NtEnumerateBootEntries

Prototipo

NTSTATUS NtEnumerateBootEntries(
  PVOID  Buffer,
  PULONG BufferLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 E7 00 00 00      mov eax, 0xE7
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Patrón clásico en dos llamadas: invocar con `Buffer = NULL` para obtener el tamaño necesario, asignar y volver a llamar. La salida es una lista enlazada — cada `BOOT_ENTRY_LIST.NextEntryOffset` es un delta en bytes desde el inicio del registro actual al siguiente (cero termina). Tras bambalinas el kernel recorre la lista del lado del firmware: NVRAM `BootOrder` + variables `Boot####` en UEFI, enumeración de la subárbol BCD en BIOS heredado. Se requiere SeSystemEnvironmentPrivilege incluso para *lectura*.

Uso común por malware

La enumeración es el paso de reconocimiento de toda kill chain de persistencia BCD: el malware necesita el ID `{bootmgr}` existente antes de poder llamar a NtModifyBootEntry, y necesita el orden actual antes de NtSetBootEntryOrder. El módulo UEFI de TrickBoot famosamente comienza con una pasada de inventario que llama al equivalente de `BcdEnumerateObjects` + `NtEnumerateBootEntries` para huellar el firmware (proveedor, versiones vulnerables de bootmgr, presencia de entradas de recuperación) y reportar al C2 antes de decidir si desplegar la etapa bootkit.

Oportunidades de detección

La enumeración de solo lectura rara vez es interesante aislada — herramientas legítimas (`bcdedit`, Windows Update, configuración BitLocker) la llaman rutinariamente. La sospecha viene del **contexto**: un proceso no-instalador, no en contexto del sistema, que abre un handle solicitando SeSystemEnvironmentPrivilege *e* inmediatamente enumera entradas BCD, es anómalo. Detección: consultar eventos de auditoría 4673 para uso de SeSystemEnvironmentPrivilege y luego correlacionar con la ruta de imagen del proceso. Los EDR que telemetran transiciones NtSetInformationToken / NtAdjustPrivilegesToken a SE_PRIVILEGE_ENABLED para SeSystemEnvironment pueden captar el paso de adquisición de privilegio que precede a cualquier llamada de escritura.

Ejemplos de syscalls directos

NtEnumerateBootEntries PROC
    mov  r10, rcx          ; PVOID Buffer
    mov  eax, 0E7h         ; Win11 24H2
    syscall
    ret
NtEnumerateBootEntries ENDP

// Enumerate every firmware boot entry, print FriendlyName.
extern NTSTATUS NTAPI NtEnumerateBootEntries(PVOID, PULONG);

void dump_entries(void) {
    ULONG size = 0;
    NtEnumerateBootEntries(NULL, &size);     // STATUS_BUFFER_TOO_SMALL
    if (size == 0) return;
    PBYTE buf = (PBYTE)HeapAlloc(GetProcessHeap(), 0, size);
    if (NT_SUCCESS(NtEnumerateBootEntries(buf, &size))) {
        PBYTE p = buf;
        while (p < buf + size) {
            PBOOT_ENTRY_LIST list = (PBOOT_ENTRY_LIST)p;
            PBOOT_ENTRY be = &list->BootEntry;
            wprintf(L"id=%08X name=%s\n", be->Id,
                    (LPCWSTR)((PBYTE)be + be->FriendlyNameOffset));
            if (!list->NextEntryOffset) break;
            p += list->NextEntryOffset;
        }
    }
    HeapFree(GetProcessHeap(), 0, buf);
}

Mapeos MITRE ATT&CK

• T1542.003Pre-OS Boot: Bootkitmitre ↗
• T1082System Information Discoverymitre ↗
• T1542Pre-OS Bootmitre ↗