NtQueryBootOptions

Prototipo

NTSTATUS NtQueryBootOptions(
  PBOOT_OPTIONS BootOptions,
  PULONG        BootOptionsLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 4B 01 00 00      mov eax, 0x14B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Devuelve el blob BOOT_OPTIONS capturado por el cargador de SO y expuesto al kernel en ejecución. La estructura incluye Version, Length, Timeout, CurrentBootEntryId, NextBootEntryId y un HeaderId seguido de la región de cadenas de opciones. Ejemplos de cadenas presentes: `DEBUG`, `TESTSIGNING`, `HYPERVISORLAUNCHTYPE=AUTO`, `BOOTLOG`, `WINPE`, `NOEXECUTE=OPTIN`. Requiere SeSystemEnvironmentPrivilege. Mayormente usada por herramientas de recovery / setup y por algunos productos defensivos que quieren detectar si el host corre en modo arranque amigable al desarrollador.

Uso común por malware

Señal ofensiva baja. Algunos malwares (notablemente rutinas anti-análisis en loaders commodity) llaman a esto para detectar estados de arranque amistosos al debugger (`DEBUG`, `TESTSIGNING`, `BOOTLOG`) y abortar o modificar comportamiento para evadir entornos sandbox / lab. Ese es el patrón de abuso dominante — environmental keying en lugar de compromiso directo. Leer opciones de arranque no escala privilegios por sí mismo ni persiste.

Oportunidades de detección

El volumen de llamadas legítimas es moderado (herramientas de recovery, agentes de diagnóstico OEM, algunos productos de protección endpoint). ETW Microsoft-Windows-Kernel-General registra el acceso. La señal interesante es la *correlación*: un binario que acaba de elevar, habilitar SeSystemEnvironmentPrivilege y luego leyó BootOptions justo antes de decidir desplegar más payload es la forma anti-análisis de libro de texto. Los proveedores de sandbox normalmente responden falsificando el blob devuelto para hacer `DEBUG`/`TESTSIGNING` invisibles.

Ejemplos de syscalls directos

; Direct syscall stub for NtQueryBootOptions (SSN 0x14B, Win11 24H2)
NtQueryBootOptions PROC
    mov  r10, rcx
    mov  eax, 14Bh
    syscall
    ret
NtQueryBootOptions ENDP

// Demonstrative environmental-keying check used by commodity loaders.
// In production the loader fingerprints additional artefacts before deciding.
#pragma pack(push,4)
typedef struct _BOOT_OPTIONS {
    ULONG  Version;
    ULONG  Length;
    ULONG  Timeout;
    ULONG  CurrentBootEntryId;
    ULONG  NextBootEntryId;
    WCHAR  HeaderId[1]; // variable
} BOOT_OPTIONS, *PBOOT_OPTIONS;
#pragma pack(pop)

BOOLEAN was;
RtlAdjustPrivilege(SE_SYSTEM_ENVIRONMENT_PRIVILEGE, TRUE, FALSE, &was);

UCHAR buf[1024];
ULONG len = sizeof(buf);
NTSTATUS s = NtQueryBootOptions((PBOOT_OPTIONS)buf, &len);
if (NT_SUCCESS(s)) {
    // Naive substring scan of the trailing options region.
    PCWSTR opts = (PCWSTR)(buf + sizeof(BOOT_OPTIONS));
    if (wcsstr(opts, L"DEBUG") || wcsstr(opts, L"TESTSIGNING")) {
        ExitProcess(0); // bail — looks like an analyst's machine
    }
}

Mapeos MITRE ATT&CK

• T1497Virtualization/Sandbox Evasionmitre ↗
• T1106Native APImitre ↗