Pre-OS Boot: Bootkit
Voir sur attack.mitre.org →10 syscalls implémentent cette technique
- NtAddBootEntry
Enregistre une nouvelle BOOT_ENTRY dans la base de configuration de démarrage (BCD) et retourne son identifiant attribué.
- NtModifyBootEntry
Remplace une BOOT_ENTRY existante dans la base BCD par un nouveau descripteur, identifié par son ID.
- NtDeleteBootEntry
Supprime une BOOT_ENTRY de la base BCD par ID, en effaçant la variable firmware correspondante sur UEFI.
- NtEnumerateBootEntries
Retourne un tableau compact de structures BOOT_ENTRY décrivant chaque option de démarrage firmware enregistrée.
- NtQueryBootEntryOrder
Lit la liste ordonnée d'IDs BOOT_ENTRY du firmware — la séquence que la plateforme tentera au prochain allumage.
- NtSetBootEntryOrder
Écrit l'ordre des tentatives de démarrage firmware — le tableau d'IDs BOOT_ENTRY que la plateforme tentera en séquence.
- NtAddDriverEntry
Enregistre une nouvelle EFI_DRIVER_ENTRY dans le firmware pour que l'environnement UEFI charge un pilote avant l'OS.
- NtModifyDriverEntry
Écrase une EFI_DRIVER_ENTRY existante identifiée par son ID, en réécrivant la variable NVRAM UEFI Driver#### sur place.
- NtSetDriverEntryOrder
Réécrit la liste DriverOrder UEFI de la plateforme, contrôlant quels drivers UEFI se chargent en premier au démarrage.
- NtSetSystemEnvironmentValueEx
Écrit ou supprime une variable UEFI identifiée par (nom, GUID éditeur) — la surface canonique de persistance firmware.