NtQueryBootOptions

Prototype

NTSTATUS NtQueryBootOptions(
  PBOOT_OPTIONS BootOptions,
  PULONG        BootOptionsLength
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 4B 01 00 00      mov eax, 0x14B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Retourne le blob BOOT_OPTIONS capturé par le chargeur d'OS et exposé dans le noyau en cours d'exécution. La structure inclut Version, Length, Timeout, CurrentBootEntryId, NextBootEntryId, et un HeaderId suivi de la région des chaînes d'options. Exemples de chaînes présentes : `DEBUG`, `TESTSIGNING`, `HYPERVISORLAUNCHTYPE=AUTO`, `BOOTLOG`, `WINPE`, `NOEXECUTE=OPTIN`. Nécessite SeSystemEnvironmentPrivilege. Principalement utilisé par l'outillage de recovery / setup et par certains produits défensifs voulant détecter si l'hôte tourne en mode boot favorable au développeur.

Usage courant par les malwares

Faible signal offensif. Certains malwares (notamment les routines anti-analyse dans les loaders de masse) appellent cela pour détecter des états de boot favorables au debugger (`DEBUG`, `TESTSIGNING`, `BOOTLOG`) et abandonner ou modifier leur comportement pour échapper aux environnements sandbox / labo. C'est le schéma d'abus dominant — environmental keying plutôt que compromission directe. Lire les options de boot n'élève pas en soi le privilège ni ne persiste.

Opportunités de détection

Le volume d'appels légitimes est modéré (outillage de recovery, agents diagnostic OEM, certains produits de protection endpoint). L'ETW Microsoft-Windows-Kernel-General journalise l'accès. Le signal intéressant est la *corrélation* : un binaire qui vient d'élever, d'activer SeSystemEnvironmentPrivilege, puis a lu BootOptions juste avant de décider de déployer la suite du payload est la forme anti-analyse classique. Les éditeurs de sandbox répondent généralement en falsifiant le blob retourné pour rendre `DEBUG`/`TESTSIGNING` invisibles.

Exemples de syscalls directs

; Direct syscall stub for NtQueryBootOptions (SSN 0x14B, Win11 24H2)
NtQueryBootOptions PROC
    mov  r10, rcx
    mov  eax, 14Bh
    syscall
    ret
NtQueryBootOptions ENDP

// Demonstrative environmental-keying check used by commodity loaders.
// In production the loader fingerprints additional artefacts before deciding.
#pragma pack(push,4)
typedef struct _BOOT_OPTIONS {
    ULONG  Version;
    ULONG  Length;
    ULONG  Timeout;
    ULONG  CurrentBootEntryId;
    ULONG  NextBootEntryId;
    WCHAR  HeaderId[1]; // variable
} BOOT_OPTIONS, *PBOOT_OPTIONS;
#pragma pack(pop)

BOOLEAN was;
RtlAdjustPrivilege(SE_SYSTEM_ENVIRONMENT_PRIVILEGE, TRUE, FALSE, &was);

UCHAR buf[1024];
ULONG len = sizeof(buf);
NTSTATUS s = NtQueryBootOptions((PBOOT_OPTIONS)buf, &len);
if (NT_SUCCESS(s)) {
    // Naive substring scan of the trailing options region.
    PCWSTR opts = (PCWSTR)(buf + sizeof(BOOT_OPTIONS));
    if (wcsstr(opts, L"DEBUG") || wcsstr(opts, L"TESTSIGNING")) {
        ExitProcess(0); // bail — looks like an analyst's machine
    }
}

Mappings MITRE ATT&CK

• T1497Virtualization/Sandbox Evasionmitre ↗
• T1106Native APImitre ↗