NtQueryDriverEntryOrder

Prototype

NTSTATUS NtQueryDriverEntryOrder(
  PULONG Ids,
  PULONG Count
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 4F 01 00 00      mov eax, 0x14F
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Compagnon de la famille BCD `NtQueryBootEntryOrder` mais opérant sur les entrées **drivers** UEFI plutôt que sur les entrées du chargeur d'OS. La variable NVRAM DriverOrder contrôle quels drivers plateforme (Driver0000, Driver0001, ...) le firmware charge avant de transférer le contrôle au chargeur d'OS ; la lire en est le chemin d'inspection en lecture seule. Nécessite SeSystemEnvironmentPrivilege. Sur les systèmes non-UEFI/CSM le syscall retourne STATUS_NOT_IMPLEMENTED. La commande `bcdedit /enum FIRMWARE` est la surface user-mode la plus couramment vue exerçant ce chemin.

Usage courant par les malwares

Valeur de reconnaissance lors de tradecraft ciblant le firmware : un attaquant s'apprêtant à tenter une persistance UEFI peut énumérer DriverOrder pour (a) comprendre quels drivers OEM/plateforme s'exécutent en premier, (b) identifier un emplacement dont le numéro est inutilisé pour qu'une entrée Driver#### plantée soit prise en compte, ou (c) confirmer qu'une entrée Driver#### déjà plantée précède le transfert au chargeur d'OS. À combiner avec NtQuerySystemEnvironmentValueEx pour énumération complète. Lecture seule en soi — aucun dommage direct au niveau noyau.

Opportunités de détection

Le volume d'appels légitimes est extrêmement faible — essentiellement bcdedit.exe, manage-bde et les outils firmware OEM. L'ETW Microsoft-Windows-Kernel-General journalise les accès en lecture au firmware incluant DriverOrder. La transition d'activation de privilège (SeSystemEnvironmentPrivilege via NtAdjustPrivilegesToken) est le point de contrôle défensif le plus précoce. Coupler la télémétrie de contexte de processus à l'événement d'audit pour signaler tout malware user-mode énumérant la configuration de boot.

Exemples de syscalls directs

; Direct syscall stub for NtQueryDriverEntryOrder (SSN 0x14F, Win11 24H2)
NtQueryDriverEntryOrder PROC
    mov  r10, rcx
    mov  eax, 14Fh
    syscall
    ret
NtQueryDriverEntryOrder ENDP

// Privilege gate first.
BOOLEAN was;
RtlAdjustPrivilege(SE_SYSTEM_ENVIRONMENT_PRIVILEGE, TRUE, FALSE, &was);

ULONG ids[32] = {0};
ULONG count = ARRAYSIZE(ids);
NTSTATUS s = NtQueryDriverEntryOrder(ids, &count);
if (NT_SUCCESS(s)) {
    for (ULONG i = 0; i < count; ++i) {
        // ids[i] is the Driver#### identifier in load order.
        // Pair with NtQuerySystemEnvironmentValueEx(L"Driver####", EFI_GLOBAL_VARIABLE,...)
        // to dereference each entry's device-path and load-options.
    }
}

Mappings MITRE ATT&CK

• T1542.001Pre-OS Boot: System Firmwaremitre ↗
• T1106Native APImitre ↗