NtQuerySystemEnvironmentValue

Prototipo

NTSTATUS NtQuerySystemEnvironmentValue(
  PUNICODE_STRING VariableName,
  PWCHAR          VariableValue,
  USHORT          ValueLength,
  PUSHORT         ReturnLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 6C 01 00 00      mov eax, 0x16C
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Interfaz heredada de la era original NT/x86 BIOS para leer valores de entorno de sistema no volátiles. El nombre se resuelve mediante almacenes NV-RAM privados del HAL; en máquinas UEFI modernas la llamada es esencialmente vestigial — las rutas del kernel canalizan las lecturas reales de firmware a NtQuerySystemEnvironmentValueEx. Requiere SeSystemEnvironmentPrivilege. El límite USHORT de 16 bits es un artefacto histórico evidente y uno de los motivos por los que el código nuevo debe usar la variante Ex.

Uso común por malware

Señal ofensiva muy baja en 2025. La mayor parte del tradecraft moderno consciente del firmware (LoJax, MosaicRegressor, ESPecter) apunta a la superficie de variables UEFI vía las contrapartes *Ex*, porque allí residen realmente las claves de Secure Boot, BootOrder y el estado de transferencia al cargador de SO. Apariciones ocasionales en kits red-team antiguos auditando estado de BIOS en máquinas heredadas.

Oportunidades de detección

El proveedor ETW Microsoft-Windows-Kernel-General emite eventos de acceso a firmware; correlacionar con concesiones de SeSystemEnvironmentPrivilege en el token llamante. Llamadas desde binarios no relacionados con gestión de firmware (fuera de bcdedit.exe, mountvol.exe, utilidades fwupdate, herramientas de fabricante) son intrínsecamente sospechosas. Los EDR raramente lo hookean directamente porque el volumen legítimo es prácticamente cero — cualquier llamada se convierte en señal de alta fidelidad.

Ejemplos de syscalls directos

; Direct syscall stub for NtQuerySystemEnvironmentValue (SSN 0x16C, Win11 24H2)
NtQuerySystemEnvironmentValue PROC
    mov  r10, rcx
    mov  eax, 16Ch
    syscall
    ret
NtQuerySystemEnvironmentValue ENDP

// Win32 calls back into NtQuerySystemEnvironmentValue under the hood.
// Requires SeSystemEnvironmentPrivilege — enable it first or the call returns ERROR_PRIVILEGE_NOT_HELD.
WCHAR buf[256] = {0};
DWORD len = GetFirmwareEnvironmentVariableW(
    L"BootOrder",
    L"{00000000-0000-0000-0000-000000000000}", // legacy non-UEFI: ignored
    buf,
    sizeof(buf));
if (len == 0) {
    // On modern UEFI systems GetFirmwareEnvironmentVariableW dispatches to the Ex variant.
    // Failure here on a UEFI machine is expected for legacy names.
}

Mapeos MITRE ATT&CK

• T1542.001Pre-OS Boot: System Firmwaremitre ↗
• T1106Native APImitre ↗