NtSetBootEntryOrder

Prototype

NTSTATUS NtSetBootEntryOrder(
  PULONG Ids,
  ULONG  Count
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 96 01 00 00      mov eax, 0x196
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Le pendant en écriture de NtQueryBootEntryOrder. Sur UEFI, le noyau appelle in fine `EFI_SET_VARIABLE` sur la variable globale `BootOrder` (GUID fournisseur `{8BE4DF61-93CA-11d2-AA0D-00E098032B8C}`) avec `EFI_VARIABLE_NON_VOLATILE | EFI_VARIABLE_BOOTSERVICE_ACCESS | EFI_VARIABLE_RUNTIME_ACCESS`. SeSystemEnvironmentPrivilege est obligatoire et l'appel échoue STATUS_INVALID_PARAMETER si un ID fourni n'existe pas.

Usage courant par les malwares

Le couronnement de l'installation de bootkit BCD : une fois un `Boot####` corrompu enregistré via NtAddBootEntry, c'est cet appel qui **gagne** le prochain redémarrage pour l'attaquant en promouvant cet ID en position 0. Sans cette étape, l'entrée de l'attaquant est dormante — UEFI essaie d'abord le Windows Boot Manager existant et ne l'atteint jamais. La réorganisation est ce qui rend l'implant actif. BlackLotus, ESPecter et le module TrickBoot terminent chacun leur chemin d'installation par cette primitive.

Opportunités de détection

**Signal BCD à la plus haute fidélité de la famille.** Toute modification de `BootOrder` qui promeut une entrée non Microsoft, non OEM-recovery, au slot 0 est essentiellement diagnostique d'une tentative de bootkit. Surveiller : événements de changement d'ordre ETW Microsoft-Windows-Kernel-Boot, événements registre Sysmon sur les écritures BCD, et la variable EFI `BootOrder` via un scan CHIPSEC ou Eclypsium périodique. Les défenseurs doivent aussi inscrire les endpoints en **Measured Boot + attestation distante** — les mesures PCR[4] (hash de l'image du boot manager) et PCR[7] (politique Secure Boot + hash de la DB signatures) divergent de la baseline attendue dès le tout premier démarrage compromis, avant même que l'utilisateur soit connecté.

Exemples de syscalls directs

NtSetBootEntryOrder PROC
    mov  r10, rcx          ; PULONG Ids
    mov  eax, 0196h        ; Win11 24H2
    syscall
    ret
NtSetBootEntryOrder ENDP

// PoC: read order, move our_id to the front, write back.
extern NTSTATUS NTAPI NtQueryBootEntryOrder(PULONG, PULONG);
extern NTSTATUS NTAPI NtSetBootEntryOrder(PULONG, ULONG);

NTSTATUS promote(ULONG our_id) {
    ULONG count = 0;
    NtQueryBootEntryOrder(NULL, &count);
    PULONG ids = (PULONG)HeapAlloc(GetProcessHeap(), 0, count * sizeof(ULONG));
    NtQueryBootEntryOrder(ids, &count);
    // find our_id, swap to front
    for (ULONG i = 0; i < count; ++i) {
        if (ids[i] == our_id) {
            memmove(&ids[1], &ids[0], i * sizeof(ULONG));
            ids[0] = our_id;
            break;
        }
    }
    NTSTATUS s = NtSetBootEntryOrder(ids, count);
    HeapFree(GetProcessHeap(), 0, ids);
    return s;
}

use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_set_boot_entry_order(_ids: *const u32, _count: u32) -> i32 {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x196",  // Win11 24H2
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1542.003Pre-OS Boot: Bootkitmitre ↗
• T1542Pre-OS Bootmitre ↗
• T1106Native APImitre ↗