NtDeleteBootEntry

Prototype

NTSTATUS NtDeleteBootEntry(
  ULONG Id
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 D9 00 00 00      mov eax, 0xD9
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Syscall à un seul argument — juste l'ID BCD. Mappe à `BcdDeleteObject` en mode utilisateur et à `bcdedit /delete {GUID}` en ligne de commande. Requiert SeSystemEnvironmentPrivilege. Sur UEFI, le noyau émet un `EFI_SET_VARIABLE` avec `DataSize = 0` sur la variable NVRAM `Boot####` correspondante, ce qui est la sémantique de suppression définie par le firmware.

Usage courant par les malwares

Les bootkits utilisent NtDeleteBootEntry pour **nettoyage forensique** et **anti-récupération**. Nettoyage forensique : après avoir utilisé une entrée de démarrage temporaire pour flasher un implant UEFI (motif LoJax / MosaicRegressor), supprimer l'entrée auxiliaire pour qu'un `bcdedit /enum FIRMWARE` post-incident ne montre rien. Anti-récupération : les ransomwares (notamment un dérivé TrickBoot) suppriment les entrées `{recovery}` et Windows RE pour que les victimes ne puissent pas démarrer WinRE et restaurer depuis VSS ou réparer MBR/GPT. Les wipers vont plus loin et suppriment `{bootmgr}` lui-même pour rendre l'hôte inopérant après chiffrement.

Opportunités de détection

ETW Microsoft-Windows-Kernel-Boot est la source principale ; l'événement de suppression identifie le GUID retiré. Combiner avec un snapshot d'énumération périodique — si une entrée présente dans le `bcdedit /enum FIRMWARE` d'hier soir est absente aujourd'hui **sans** ticket d'action admin correspondant, c'est une alerte à haute confiance. La suppression de `{default}`, `{bootmgr}` ou de tout GUID `{recovery*}` doit être traitée comme un indicateur d'attaque destructrice (playbook ransomware BCDEdit) et déclencher un contrôle immédiat d'intégrité VSS/sauvegardes.

Exemples de syscalls directs

NtDeleteBootEntry PROC
    mov  r10, rcx          ; ULONG Id
    mov  eax, 0D9h         ; Win11 24H2
    syscall
    ret
NtDeleteBootEntry ENDP

// Mirrors what ransomware does after encryption to prevent WinRE-based recovery.
// Public defensive analysis only.
NTSTATUS sweep_recovery(void) {
    // IDs harvested from NtEnumerateBootEntries; filter on FriendlyName == "Windows Recovery Environment".
    ULONG recovery_ids[] = { 0x10, 0x11 };
    for (size_t i = 0; i < ARRAYSIZE(recovery_ids); ++i) {
        NTSTATUS s = NtDeleteBootEntry(recovery_ids[i]);
        if (!NT_SUCCESS(s)) return s;
    }
    return STATUS_SUCCESS;
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_delete_boot_entry(_id: u32) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0xD9",   // Win11 24H2
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1542.003Pre-OS Boot: Bootkitmitre ↗
• T1490Inhibit System Recoverymitre ↗
• T1542Pre-OS Bootmitre ↗