NtEnumerateBootEntries

Prototype

NTSTATUS NtEnumerateBootEntries(
  PVOID  Buffer,
  PULONG BufferLength
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 E7 00 00 00      mov eax, 0xE7
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Schéma classique en deux appels : invoquer avec `Buffer = NULL` pour récupérer la taille requise, allouer, puis rappeler. La sortie est une liste chaînée — chaque `BOOT_ENTRY_LIST.NextEntryOffset` est un delta en octets depuis le début de l'enregistrement courant vers le suivant (zéro termine). En coulisses, le noyau parcourt la liste côté firmware : `BootOrder` NVRAM + variables `Boot####` sur UEFI, énumération de la ruche BCD sur BIOS legacy. SeSystemEnvironmentPrivilege est requis même en *lecture*.

Usage courant par les malwares

L'énumération est l'étape de reconnaissance de toute kill chain de persistance BCD : le malware a besoin de l'ID `{bootmgr}` existant avant de pouvoir appeler NtModifyBootEntry, et il lui faut l'ordre courant avant NtSetBootEntryOrder. Le module UEFI de TrickBoot commence notoirement par une passe d'inventaire appelant l'équivalent de `BcdEnumerateObjects` + `NtEnumerateBootEntries` pour empreindre le firmware (fournisseur, versions vulnérables de bootmgr, présence d'entrées recovery) et la rapporter au C2 avant de décider de déployer ou non l'étage bootkit.

Opportunités de détection

L'énumération en lecture seule est rarement intéressante isolée — des outils légitimes (`bcdedit`, Windows Update, configuration BitLocker) l'appellent en routine. La suspicion vient du **contexte** : un processus non-installeur, non en contexte système, qui ouvre un handle réclamant SeSystemEnvironmentPrivilege *et* énumère immédiatement les entrées BCD, est anormal. Détection : interroger les événements d'audit 4673 pour l'usage de SeSystemEnvironmentPrivilege, puis corréler avec le chemin image du processus. Les EDR qui télémétrent les transitions NtSetInformationToken / NtAdjustPrivilegesToken vers SE_PRIVILEGE_ENABLED pour SeSystemEnvironment peuvent attraper l'étape d'acquisition de privilège qui précède tout appel d'écriture.

Exemples de syscalls directs

NtEnumerateBootEntries PROC
    mov  r10, rcx          ; PVOID Buffer
    mov  eax, 0E7h         ; Win11 24H2
    syscall
    ret
NtEnumerateBootEntries ENDP

// Enumerate every firmware boot entry, print FriendlyName.
extern NTSTATUS NTAPI NtEnumerateBootEntries(PVOID, PULONG);

void dump_entries(void) {
    ULONG size = 0;
    NtEnumerateBootEntries(NULL, &size);     // STATUS_BUFFER_TOO_SMALL
    if (size == 0) return;
    PBYTE buf = (PBYTE)HeapAlloc(GetProcessHeap(), 0, size);
    if (NT_SUCCESS(NtEnumerateBootEntries(buf, &size))) {
        PBYTE p = buf;
        while (p < buf + size) {
            PBOOT_ENTRY_LIST list = (PBOOT_ENTRY_LIST)p;
            PBOOT_ENTRY be = &list->BootEntry;
            wprintf(L"id=%08X name=%s\n", be->Id,
                    (LPCWSTR)((PBYTE)be + be->FriendlyNameOffset));
            if (!list->NextEntryOffset) break;
            p += list->NextEntryOffset;
        }
    }
    HeapFree(GetProcessHeap(), 0, buf);
}

Mappings MITRE ATT&CK

• T1542.003Pre-OS Boot: Bootkitmitre ↗
• T1082System Information Discoverymitre ↗
• T1542Pre-OS Bootmitre ↗