NtEnumerateDriverEntries

Prototipo

NTSTATUS NtEnumerateDriverEntries(
  PVOID  Buffer,
  PULONG BufferLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 E8 00 00 00      mov eax, 0xE8
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Mismo patrón de enumeración en dos llamadas que NtEnumerateBootEntries — llamar una vez con `Buffer = NULL` para conocer el tamaño necesario, luego otra vez con la asignación. Recorre la lista enlazada vía `EFI_DRIVER_ENTRY_LIST.NextEntryOffset`. Se requiere SeSystemEnvironmentPrivilege incluso para lectura. En UEFI lee indirectamente la variable global `DriverOrder` más cada `Driver####` referenciada.

Uso común por malware

Usado tanto ofensiva como defensivamente. Ofensivo: reconocimiento APT para huellar el firmware antes de decidir qué secuestro de DRIVER_ENTRY es viable — el instalador de MosaicRegressor enumera DriverOrder para encontrar un slot estable ocupado por un controlador OEM vulnerable antes de parchearlo. Defensivo: respuesta a incidentes y forensia proactiva lo invocan (o `bcdedit /enum FIRMWARE`) para volcar la lista actual de controladores y compararla con una baseline de sala limpia del mismo modelo de hardware — la forma fiable más sencilla de detectar implantes tipo LoJax/MosaicRegressor sin un dump SPI completo.

Oportunidades de detección

La enumeración por sí sola es benigna — los defensores la ejecutan constantemente. La señal interesante es la **enumeración por un proceso inesperado**: un proceso de usuario no-OEM, no-Microsoft, no-EDR que abre un token con SeSystemEnvironmentPrivilege y lee la lista de controladores es un fuerte indicador de staging. Emparejar el sitio de llamada (Event ID 4673) con la línea de comandos del proceso vía Sysmon Event ID 1. La defensa más fiable sigue siendo Secure Boot con una DBX actualizada y Measured Boot + atestación remota extendiendo PCR[2] en cada controlador DXE despachado.

Ejemplos de syscalls directos

NtEnumerateDriverEntries PROC
    mov  r10, rcx          ; PVOID Buffer
    mov  eax, 0E8h         ; Win11 24H2
    syscall
    ret
NtEnumerateDriverEntries ENDP

// Walk DriverOrder, print FriendlyName + DriverFilePath of each registered DXE entry.
extern NTSTATUS NTAPI NtEnumerateDriverEntries(PVOID, PULONG);

void dump_drivers(void) {
    ULONG size = 0;
    NtEnumerateDriverEntries(NULL, &size);
    if (!size) return;
    PBYTE buf = (PBYTE)HeapAlloc(GetProcessHeap(), 0, size);
    if (NT_SUCCESS(NtEnumerateDriverEntries(buf, &size))) {
        PBYTE p = buf;
        while (p < buf + size) {
            PEFI_DRIVER_ENTRY_LIST list = (PEFI_DRIVER_ENTRY_LIST)p;
            PEFI_DRIVER_ENTRY de = &list->DriverEntry;
            wprintf(L"id=%08X name=%s\n", de->Id,
                    (LPCWSTR)((PBYTE)de + de->FriendlyNameOffset));
            if (!list->NextEntryOffset) break;
            p += list->NextEntryOffset;
        }
    }
    HeapFree(GetProcessHeap(), 0, buf);
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_enumerate_driver_entries(_buf: *mut u8, _len: *mut u32) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0xE8",   // Win11 24H2
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1542.001Pre-OS Boot: System Firmwaremitre ↗
• T1082System Information Discoverymitre ↗
• T1014Rootkitmitre ↗