NtSerializeBoot

Prototipo

NTSTATUS NtSerializeBoot(VOID);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 95 01 00 00      mov eax, 0x195
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Primitiva de diagnóstico de rendimiento: invocada una vez por el Session Manager (smss.exe) y la infraestructura prefetcher para señalar que la fase de arranque está completa y el kernel puede serializar la traza de arranque en memoria al disco (p. ej. para sesiones estilo `xperf -on Base+Boot` y el prefetcher de arranque SuperFetch). Sin argumentos, nada que falsificar. Invocarla fuera del contexto one-shot legítimo es efectivamente un no-op o devuelve STATUS_UNSUCCESSFUL. La documentación de Microsoft es mínima porque la rutina forma parte del contrato prefetcher, no de una superficie Win32 pública.

Uso común por malware

Valor ofensivo mínimo. No hay primitiva de elevación de privilegio aquí, ni divulgación de información más allá de lo que el prefetcher ya escribe en %SystemRoot%\Prefetch, ni cambio de comportamiento. Ocasionalmente referenciada como curiosidad en herramientas de tabla syscall, pero no forma parte de las TTPs de ninguna familia de malware documentada.

Oportunidades de detección

Tratar como curiosidad de baseline. El proveedor ETW Microsoft-Windows-Kernel-Prefetch registra transiciones de estado del prefetcher; si NtSerializeBoot se invoca desde algo distinto de smss.exe (o el servicio prefetcher) es anómalo, pero el coste práctico en falsos positivos es bajo porque el conteo de invocadores legítimos es uno. Los defensores generalmente no necesitan rastrearla — enfocar el presupuesto de telemetría en otra parte.

Ejemplos de syscalls directos

; Direct syscall stub for NtSerializeBoot (SSN 0x195, Win11 24H2)
NtSerializeBoot PROC
    mov  r10, rcx
    mov  eax, 195h
    syscall
    ret
NtSerializeBoot ENDP

// This is what smss.exe does once the boot phase completes. Calling it again from
// a user-mode process is a no-op in practice.
extern NTSTATUS NTAPI NtSerializeBoot(VOID);

NTSTATUS s = NtSerializeBoot();
// s == STATUS_SUCCESS only inside the one legitimate caller's lifetime.

Mapeos MITRE ATT&CK

• T1106Native APImitre ↗