NtQuerySystemEnvironmentValueEx

Prototype

NTSTATUS NtQuerySystemEnvironmentValueEx(
  PUNICODE_STRING VariableName,
  LPGUID          VendorGuid,
  PVOID           Value,
  PULONG          ValueLength,
  PULONG          Attributes
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 6D 01 00 00      mov eax, 0x16D
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

L'interface moderne de lecture des variables UEFI. Identifie une variable par (nom, GUID éditeur) — le nom seul est ambigu car Secure Boot, BCD, utilitaires firmware éditeurs et gestion OEM réutilisent tous des noms courts communs sous des espaces GUID distincts. Retourne les octets bruts de la variable plus son masque d'attributs EFI, permettant aux appelants de voir si la variable est non volatile, accessible au runtime ou en écriture authentifiée. Nécessite SeSystemEnvironmentPrivilege. La surface Win32 est GetFirmwareEnvironmentVariableExW.

Usage courant par les malwares

Appel de reconnaissance principal pour les acteurs offensifs ciblant le firmware. Lire `SecureBoot`, `SetupMode`, `PK`, `KEK`, `db`, `dbx` et `BootOrder` révèle si Secure Boot est en application, quelles clés sont enrôlées, et quel chargeur s'exécute en premier. TrickBoot (le module UEFI de TrickBot) a utilisé le wrapper Win32 correspondant pour identifier les firmwares vulnérables. MoonBounce d'APT41 et LoJax de Sednit/APT28 ont tous deux sondé l'état UEFI via ce chemin avant de décider d'une tentative de persistance via le *setter* Ex. La lecture seule est à faible impact ; la valeur réside dans la sélection des victimes et l'évitement des machines à firmware signé.

Opportunités de détection

L'ETW Microsoft-Windows-Kernel-General émet des événements de lecture firmware incluant nom de variable et GUID. Les défenseurs devraient référencer quels processus lisent légitimement l'état Secure Boot (System, mountvol, manage-bde, agents éditeurs) et traiter tout autre lecteur — surtout un malware en mode utilisateur qui vient d'élever et d'activer SeSystemEnvironmentPrivilege — comme un signal suspect à haute fidélité. CrowdStrike et Microsoft Defender for Endpoint exposent les appels directs via leur sondeur EDR ; les wrappers Win32 sont aussi couramment hookés.

Exemples de syscalls directs

; Direct syscall stub for NtQuerySystemEnvironmentValueEx (SSN 0x16D, Win11 24H2)
NtQuerySystemEnvironmentValueEx PROC
    mov  r10, rcx
    mov  eax, 16Dh
    syscall
    ret
NtQuerySystemEnvironmentValueEx ENDP

// GUID for EFI_GLOBAL_VARIABLE: {8BE4DF61-93CA-11D2-AA0D-00E098032B8C}
// Win32 string-form is required by GetFirmwareEnvironmentVariableExW.
static const wchar_t* kGlobal = L"{8BE4DF61-93CA-11D2-AA0D-00E098032B8C}";
BOOLEAN was;
RtlAdjustPrivilege(SE_SYSTEM_ENVIRONMENT_PRIVILEGE, TRUE, FALSE, &was);

BYTE secureBoot = 0;
DWORD attrs = 0;
DWORD n = GetFirmwareEnvironmentVariableExW(
    L"SecureBoot", kGlobal, &secureBoot, sizeof(secureBoot), &attrs);
if (n == 1 && secureBoot == 1) {
    // Secure Boot is active. Variable attribute mask is in `attrs`.
}

// windows-sys = "0.59" — naked stub omitted for brevity (see x64 stub above).
// Demonstrates the call shape — privilege gating must be performed beforehand.
#[repr(C)]
struct UnicodeString { length: u16, max: u16, buf: *const u16 }

extern "system" {
    fn NtQuerySystemEnvironmentValueEx(
        name: *const UnicodeString,
        guid: *const windows_sys::core::GUID,
        value: *mut u8,
        value_len: *mut u32,
        attributes: *mut u32,
    ) -> i32;
}

const EFI_GLOBAL_VARIABLE: windows_sys::core::GUID = windows_sys::core::GUID {
    data1: 0x8BE4DF61, data2: 0x93CA, data3: 0x11D2,
    data4: [0xAA, 0x0D, 0x00, 0xE0, 0x98, 0x03, 0x2B, 0x8C],
};

Mappings MITRE ATT&CK

• T1542.001Pre-OS Boot: System Firmwaremitre ↗
• T1106Native APImitre ↗