NtUnloadDriver

Prototipo

NTSTATUS NtUnloadDriver(
  PUNICODE_STRING DriverServiceName
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 D9 01 00 00      mov eax, 0x1D9
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtUnloadDriver es la contraparte de NtLoadDriver. Dada una ruta NT a una clave de servicio, pide al I/O manager invocar la rutina `DriverUnload` del driver y retirar su `DRIVER_OBJECT` de `\Driver`. La imagen del driver se desmapea del espacio kernel y se rellena el slot `MmUnloadedDrivers` correspondiente (el kernel mantiene un pequeño ring buffer con los ~50 últimos nombres de drivers descargados — `!drvobj /unloaded` en WinDbg). NtUnloadDriver requiere que el token llamante tenga `SeLoadDriverPrivilege`, que los Administradores tienen por defecto pero las cuentas de servicio raramente poseen.

Uso común por malware

La llamada definitoria de la **limpieza BYOVD (Bring Your Own Vulnerable Driver)**. La kill chain clásica: 1) soltar un driver firmado-pero-vulnerable de una lista codificada (RTCore64, gdrv, mhyprot2, kArmor, etc.); 2) NtLoadDriver para crear el servicio y cargar; 3) IOCTL al driver para deshabilitar callbacks EDR, terminar procesos protegidos, escribir en MSRs o memoria kernel arbitraria; 4) NtUnloadDriver para retirar el driver del sistema vivo y reducir la huella forense. Familias: EDRKillShifter (herramientas afiliadas a RansomHub), Terminator de Spyboy, módulo BYOVD de AvosLocker, variantes KillAV, abuso de RTCore64 por BlackByte, loader del rootkit FudModule de Lazarus. El unload es *necesario* — dejar el driver vulnerable cargado es una señal de detección estridente para enumeración de imágenes kernel.

Oportunidades de detección

Crítico: la mayoría de la telemetría BYOVD pública se centra en el *load* (`Microsoft-Windows-Kernel-PnP` event 400, Sysmon Event ID 6) — el *unload* ha estado históricamente subinstrumentado. La detección depende de correlación: Sysmon Event 6 registró la carga inicial, y la ausencia de la imagen del driver en enumeraciones posteriores `Get-WindowsDriver` / `driverquery` / callbacks kernel es el único delta. `Microsoft-Windows-Kernel-PnP` event 410 dispara al parar el servicio. La blocklist de drivers vulnerables de Microsoft Defender (`DriverSiPolicy.p7b`) impide enteramente el load en sistemas habilitados — cuando está presente, la ruta BYOVD falla en NtLoadDriver y NtUnloadDriver nunca se alcanza. ELAM y HVCI también muerden en el load, no en el unload.

Ejemplos de syscalls directos

; Direct syscall stub for NtUnloadDriver (SSN 0x1D9 on Win11 24H2)
NtUnloadDriver PROC
    mov  r10, rcx          ; DriverServiceName
    mov  eax, 1D9h         ; SSN — verify per-build
    syscall
    ret
NtUnloadDriver ENDP

// Final stage of a BYOVD chain: tear down the vulnerable driver and its service key.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtUnloadDriver)(PUNICODE_STRING);

BOOL BYOVDCleanup(PCWSTR ntServicePath /* L"\\Registry\\Machine\\System\\CurrentControlSet\\Services\\Vuln" */) {
    UNICODE_STRING us;
    RtlInitUnicodeString(&us, ntServicePath);

    pNtUnloadDriver fn = (pNtUnloadDriver)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtUnloadDriver");
    NTSTATUS s = fn(&us);

    // Best practice: also delete the service-key and the .sys on disk to slim forensics.
    // (omitted) RegDeleteTreeW + DeleteFileW
    return s >= 0;
}

// Cargo: ntapi = "0.4", widestring = "1"
use ntapi::ntioapi::NtUnloadDriver;
use ntapi::ntrtl::RtlInitUnicodeString;
use winapi::shared::ntdef::UNICODE_STRING;
use widestring::U16CString;

unsafe fn unload(svc_nt_path: &str) -> i32 {
    let w = U16CString::from_str(svc_nt_path).unwrap();
    let mut us: UNICODE_STRING = std::mem::zeroed();
    RtlInitUnicodeString(&mut us, w.as_ptr());
    NtUnloadDriver(&mut us)
}

Mapeos MITRE ATT&CK

• T1562.001Impair Defenses: Disable or Modify Toolsmitre ↗
• T1068Exploitation for Privilege Escalationmitre ↗
• T1070Indicator Removalmitre ↗