NtQuerySystemEnvironmentValue

Prototype

NTSTATUS NtQuerySystemEnvironmentValue(
  PUNICODE_STRING VariableName,
  PWCHAR          VariableValue,
  USHORT          ValueLength,
  PUSHORT         ReturnLength
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 6C 01 00 00      mov eax, 0x16C
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Interface héritée de l'ère NT/x86 BIOS originale pour lire des valeurs d'environnement système non volatiles. Le nom est résolu via des stockages NV-RAM privés au HAL ; sur les machines UEFI modernes l'appel est essentiellement vestigial — les chemins noyau redirigent les lectures de firmware réelles vers NtQuerySystemEnvironmentValueEx. Nécessite SeSystemEnvironmentPrivilege. La limite de longueur USHORT 16 bits est un artefact historique manifeste et l'une des raisons pour lesquelles le code neuf doit utiliser la variante Ex.

Usage courant par les malwares

Très faible signal offensif en 2025. La plupart du tradecraft moderne ciblant le firmware (LoJax, MosaicRegressor, ESPecter) vise la surface des variables UEFI via les contreparties *Ex*, car c'est là que résident réellement les clés Secure Boot, le BootOrder et l'état de passation au chargeur d'OS. Apparitions occasionnelles dans d'anciens toolkits red-team auditant l'état du BIOS sur machines héritées.

Opportunités de détection

Le fournisseur ETW Microsoft-Windows-Kernel-General émet des événements d'accès firmware ; à corréler avec l'octroi de SeSystemEnvironmentPrivilege sur le token appelant. Les appels depuis des binaires non liés à la gestion firmware (hors bcdedit.exe, mountvol.exe, utilitaires fwupdate, outils de gestion constructeurs) sont intrinsèquement suspects. Les EDR ne hookent presque jamais cet appel directement car le volume légitime est proche de zéro — tout appel devient donc un signal à haute fidélité.

Exemples de syscalls directs

; Direct syscall stub for NtQuerySystemEnvironmentValue (SSN 0x16C, Win11 24H2)
NtQuerySystemEnvironmentValue PROC
    mov  r10, rcx
    mov  eax, 16Ch
    syscall
    ret
NtQuerySystemEnvironmentValue ENDP

// Win32 calls back into NtQuerySystemEnvironmentValue under the hood.
// Requires SeSystemEnvironmentPrivilege — enable it first or the call returns ERROR_PRIVILEGE_NOT_HELD.
WCHAR buf[256] = {0};
DWORD len = GetFirmwareEnvironmentVariableW(
    L"BootOrder",
    L"{00000000-0000-0000-0000-000000000000}", // legacy non-UEFI: ignored
    buf,
    sizeof(buf));
if (len == 0) {
    // On modern UEFI systems GetFirmwareEnvironmentVariableW dispatches to the Ex variant.
    // Failure here on a UEFI machine is expected for legacy names.
}

Mappings MITRE ATT&CK

• T1542.001Pre-OS Boot: System Firmwaremitre ↗
• T1106Native APImitre ↗