NtQueryBootEntryOrder

Prototipo

NTSTATUS NtQueryBootEntryOrder(
  PULONG Ids,
  PULONG Count
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 4A 01 00 00      mov eax, 0x14A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

En UEFI esto es fundamentalmente un wrapper sobre la variable NVRAM `BootOrder` definida por el firmware (EFI Global Variable, GUID `{8BE4DF61-93CA-11d2-AA0D-00E098032B8C}`). El arreglo es la *secuencia* en la que el firmware intentará cada variable `Boot####`. La primera llamada típicamente usa un buffer `Ids` NULL para conocer el tamaño, la segunda recoge los datos. Se requiere SeSystemEnvironmentPrivilege.

Uso común por malware

Requisito previo a NtSetBootEntryOrder: los instaladores de bootkit leen el orden actual, insertan su ID recién registrado en posición 0 (o donde lo necesiten respecto a entradas existentes) y lo reescriben. También usan la consulta para verificar que la persistencia sobrevivió a un reinicio — si `Ids[0]` ya no es el GUID del atacante, el implante sabe que un defensor o una actualización BIOS restauró el orden y reejecuta la instalación. Este bucle está documentado en el módulo de persistencia de BlackLotus.

Oportunidades de detección

Mismas advertencias que NtEnumerateBootEntries — solo lectura y frecuentemente legítima. El indicador de alta fidelidad es el *par*: query + set con un delta que promueve un loader no firmado por Microsoft al frente del orden. Comparar el resultado de este syscall con una baseline limpia; mejor aún, integrar la variable EFI `BootOrder` en el inventario de activos (Eclypsium, CHIPSEC o atestación de salud de dispositivos Intune) y alertar sobre cambios.

Ejemplos de syscalls directos

NtQueryBootEntryOrder PROC
    mov  r10, rcx          ; PULONG Ids
    mov  eax, 014Ah        ; Win11 24H2
    syscall
    ret
NtQueryBootEntryOrder ENDP

extern NTSTATUS NTAPI NtQueryBootEntryOrder(PULONG, PULONG);

void show_order(void) {
    ULONG count = 0;
    NtQueryBootEntryOrder(NULL, &count);          // STATUS_BUFFER_TOO_SMALL, fills count
    if (!count) return;
    PULONG ids = (PULONG)HeapAlloc(GetProcessHeap(), 0, count * sizeof(ULONG));
    if (NT_SUCCESS(NtQueryBootEntryOrder(ids, &count))) {
        for (ULONG i = 0; i < count; ++i) wprintf(L"%u -> id=%08X\n", i, ids[i]);
    }
    HeapFree(GetProcessHeap(), 0, ids);
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_query_boot_entry_order(_ids: *mut u32, _count: *mut u32) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x14A",  // Win11 24H2
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1542.003Pre-OS Boot: Bootkitmitre ↗
• T1082System Information Discoverymitre ↗
• T1542Pre-OS Bootmitre ↗