NtSetBootEntryOrder

Prototipo

NTSTATUS NtSetBootEntryOrder(
  PULONG Ids,
  ULONG  Count
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 96 01 00 00      mov eax, 0x196
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

La contraparte de escritura de NtQueryBootEntryOrder. En UEFI el kernel finalmente llama a `EFI_SET_VARIABLE` contra la variable global `BootOrder` (GUID de proveedor `{8BE4DF61-93CA-11d2-AA0D-00E098032B8C}`) con `EFI_VARIABLE_NON_VOLATILE | EFI_VARIABLE_BOOTSERVICE_ACCESS | EFI_VARIABLE_RUNTIME_ACCESS`. SeSystemEnvironmentPrivilege es obligatorio y la llamada falla STATUS_INVALID_PARAMETER si algún ID suministrado no existe actualmente.

Uso común por malware

El cierre de la instalación de bootkit basada en BCD: una vez registrado un `Boot####` malicioso vía NtAddBootEntry, esta es la llamada que **gana** el próximo reinicio para el atacante al promover ese ID a la posición 0. Sin este paso, la entrada del atacante queda inactiva — UEFI prueba primero el Windows Boot Manager existente y nunca la alcanza. El reordenamiento es lo que activa el implante. BlackLotus, ESPecter y el módulo TrickBoot terminan cada uno su ruta de instalación con esta primitiva.

Oportunidades de detección

**Señal BCD de mayor fidelidad de la familia.** Cualquier modificación de `BootOrder` que promueva una entrada no Microsoft, no de recuperación OEM, al slot 0 es esencialmente diagnóstica de un intento de bootkit. Monitorizar: eventos de cambio de orden ETW Microsoft-Windows-Kernel-Boot, eventos de registro Sysmon en escrituras BCD y la variable EFI `BootOrder` mediante escaneo periódico CHIPSEC o Eclypsium. Los defensores deberían también inscribir endpoints en **Measured Boot + atestación remota** — las mediciones PCR[4] (hash de la imagen del boot manager) y PCR[7] (política Secure Boot + hash de la BD de firmas) divergen de la baseline esperada en el primer arranque comprometido, antes incluso de que el usuario inicie sesión.

Ejemplos de syscalls directos

NtSetBootEntryOrder PROC
    mov  r10, rcx          ; PULONG Ids
    mov  eax, 0196h        ; Win11 24H2
    syscall
    ret
NtSetBootEntryOrder ENDP

// PoC: read order, move our_id to the front, write back.
extern NTSTATUS NTAPI NtQueryBootEntryOrder(PULONG, PULONG);
extern NTSTATUS NTAPI NtSetBootEntryOrder(PULONG, ULONG);

NTSTATUS promote(ULONG our_id) {
    ULONG count = 0;
    NtQueryBootEntryOrder(NULL, &count);
    PULONG ids = (PULONG)HeapAlloc(GetProcessHeap(), 0, count * sizeof(ULONG));
    NtQueryBootEntryOrder(ids, &count);
    // find our_id, swap to front
    for (ULONG i = 0; i < count; ++i) {
        if (ids[i] == our_id) {
            memmove(&ids[1], &ids[0], i * sizeof(ULONG));
            ids[0] = our_id;
            break;
        }
    }
    NTSTATUS s = NtSetBootEntryOrder(ids, count);
    HeapFree(GetProcessHeap(), 0, ids);
    return s;
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_set_boot_entry_order(_ids: *const u32, _count: u32) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x196",  // Win11 24H2
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mapeos MITRE ATT&CK

• T1542.003Pre-OS Boot: Bootkitmitre ↗
• T1542Pre-OS Bootmitre ↗
• T1106Native APImitre ↗