NtQueryBootEntryOrder

Prototype

NTSTATUS NtQueryBootEntryOrder(
  PULONG Ids,
  PULONG Count
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 4A 01 00 00      mov eax, 0x14A
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Sur UEFI, c'est fondamentalement un wrapper sur la variable NVRAM `BootOrder` définie par le firmware (EFI Global Variable, GUID `{8BE4DF61-93CA-11d2-AA0D-00E098032B8C}`). Le tableau est la *séquence* dans laquelle le firmware tentera chaque variable `Boot####`. Le premier appel utilise typiquement un buffer `Ids` NULL pour connaître la taille, le second collecte les données. SeSystemEnvironmentPrivilege est requis.

Usage courant par les malwares

Prérequis à NtSetBootEntryOrder : les installeurs de bootkit lisent l'ordre courant, insèrent leur ID fraîchement enregistré en position 0 (ou là où ils en ont besoin par rapport aux entrées existantes), puis le réécrivent. Ils utilisent aussi la requête pour vérifier que la persistance a survécu à un redémarrage — si `Ids[0]` n'est plus le GUID de l'attaquant, l'implant sait qu'un défenseur ou une mise à jour BIOS a restauré l'ordre et relance l'installation. Cette boucle est documentée dans le module de persistance de BlackLotus.

Opportunités de détection

Mêmes mises en garde que NtEnumerateBootEntries — lecture seule et fréquemment légitime. L'indicateur haute fidélité est la *paire* : query + set avec un delta qui promeut un loader non signé Microsoft en tête de l'ordre. Comparer le résultat de ce syscall à une baseline propre ; mieux encore, intégrer la variable EFI `BootOrder` à l'inventaire des actifs (Eclypsium, CHIPSEC, ou attestation santé Intune) et alerter sur les changements.

Exemples de syscalls directs

NtQueryBootEntryOrder PROC
    mov  r10, rcx          ; PULONG Ids
    mov  eax, 014Ah        ; Win11 24H2
    syscall
    ret
NtQueryBootEntryOrder ENDP

extern NTSTATUS NTAPI NtQueryBootEntryOrder(PULONG, PULONG);

void show_order(void) {
    ULONG count = 0;
    NtQueryBootEntryOrder(NULL, &count);          // STATUS_BUFFER_TOO_SMALL, fills count
    if (!count) return;
    PULONG ids = (PULONG)HeapAlloc(GetProcessHeap(), 0, count * sizeof(ULONG));
    if (NT_SUCCESS(NtQueryBootEntryOrder(ids, &count))) {
        for (ULONG i = 0; i < count; ++i) wprintf(L"%u -> id=%08X\n", i, ids[i]);
    }
    HeapFree(GetProcessHeap(), 0, ids);
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_query_boot_entry_order(_ids: *mut u32, _count: *mut u32) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x14A",  // Win11 24H2
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1542.003Pre-OS Boot: Bootkitmitre ↗
• T1082System Information Discoverymitre ↗
• T1542Pre-OS Bootmitre ↗