NtEnumerateDriverEntries

Prototype

NTSTATUS NtEnumerateDriverEntries(
  PVOID  Buffer,
  PULONG BufferLength
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 E8 00 00 00      mov eax, 0xE8
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Même schéma d'énumération en deux appels que NtEnumerateBootEntries — appeler une fois avec `Buffer = NULL` pour connaître la taille requise, puis à nouveau avec l'allocation. Parcourt la liste chaînée via `EFI_DRIVER_ENTRY_LIST.NextEntryOffset`. SeSystemEnvironmentPrivilege requis même en lecture. Sur UEFI, lit indirectement la variable globale `DriverOrder` plus chaque `Driver####` référencée.

Usage courant par les malwares

Utilisé à la fois offensivement et défensivement. Offensif : recon APT pour empreindre le firmware avant de décider quel détournement de DRIVER_ENTRY est viable — l'installeur de MosaicRegressor énumère DriverOrder pour trouver un slot stable détenu par un pilote OEM vulnérable avant de le patcher. Défensif : la réponse à incident et le forensic proactif l'appellent (ou `bcdedit /enum FIRMWARE`) pour dumper la liste de pilotes courante et la comparer à une baseline « salle blanche » du même modèle matériel — le moyen fiable le plus facile de repérer des implants de classe LoJax/MosaicRegressor à défaut d'un dump SPI complet.

Opportunités de détection

L'énumération seule est bénigne — les défenseurs la lancent constamment. Le signal intéressant est l'**énumération par un processus inattendu** : un processus utilisateur non-OEM, non-Microsoft, non-EDR qui ouvre un token avec SeSystemEnvironmentPrivilege et lit la liste de pilotes est un fort indicateur de staging. Apparier le site d'appel (Event ID 4673) avec la ligne de commande du processus via Sysmon Event ID 1. La défense la plus fiable reste Secure Boot avec une DBX à jour et Measured Boot + attestation distante étendant PCR[2] sur chaque pilote DXE dispatché.

Exemples de syscalls directs

NtEnumerateDriverEntries PROC
    mov  r10, rcx          ; PVOID Buffer
    mov  eax, 0E8h         ; Win11 24H2
    syscall
    ret
NtEnumerateDriverEntries ENDP

// Walk DriverOrder, print FriendlyName + DriverFilePath of each registered DXE entry.
extern NTSTATUS NTAPI NtEnumerateDriverEntries(PVOID, PULONG);

void dump_drivers(void) {
    ULONG size = 0;
    NtEnumerateDriverEntries(NULL, &size);
    if (!size) return;
    PBYTE buf = (PBYTE)HeapAlloc(GetProcessHeap(), 0, size);
    if (NT_SUCCESS(NtEnumerateDriverEntries(buf, &size))) {
        PBYTE p = buf;
        while (p < buf + size) {
            PEFI_DRIVER_ENTRY_LIST list = (PEFI_DRIVER_ENTRY_LIST)p;
            PEFI_DRIVER_ENTRY de = &list->DriverEntry;
            wprintf(L"id=%08X name=%s\n", de->Id,
                    (LPCWSTR)((PBYTE)de + de->FriendlyNameOffset));
            if (!list->NextEntryOffset) break;
            p += list->NextEntryOffset;
        }
    }
    HeapFree(GetProcessHeap(), 0, buf);
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_enumerate_driver_entries(_buf: *mut u8, _len: *mut u32) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0xE8",   // Win11 24H2
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1542.001Pre-OS Boot: System Firmwaremitre ↗
• T1082System Information Discoverymitre ↗
• T1014Rootkitmitre ↗