NtSetDriverEntryOrder

Prototype

NTSTATUS NtSetDriverEntryOrder(
  PULONG Ids,
  ULONG  Count
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 9F 01 00 00      mov eax, 0x19F
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Contrepartie d'écriture de NtQueryDriverEntryOrder. Avec NtAddDriverEntry / NtModifyDriverEntry / NtDeleteDriverEntry, elle forme la surface programmatique complète pour la variable NVRAM UEFI DriverOrder. Nécessite SeSystemEnvironmentPrivilege. Sur du matériel UEFI moderne avec Secure Boot en application, déposer une entrée Driver#### malveillante que le firmware exécutera effectivement nécessite encore que le binaire EFI lui-même soit signé par une clé de db — ce syscall est donc nécessaire mais pas suffisant pour la persistance firmware. STATUS_NOT_IMPLEMENTED sur les systèmes legacy BIOS / CSM-only.

Usage courant par les malwares

Étape de promotion de persistance pour les menaces UEFI : après avoir déposé une entrée Driver#### (via NtAddDriverEntry) l'attaquant appelle NtSetDriverEntryOrder pour s'assurer que son entrée s'exécute *avant* le transfert vers le chargeur OS de confiance, offrant à un driver UEFI malveillant la chance de hooker les services de boot EFI critiques (LoadImage, StartImage, ExitBootServices) et de survivre dans le contexte noyau. La chaîne de BlackLotus repose conceptuellement sur ce type de manipulation d'ordre, bien que sa persistance principale ait utilisé un chemin séparé `revocations.efi`/MOK. CosmicStrand a modifié l'ordre de boot firmware au niveau de la puce plutôt que via ce syscall ; le chemin du syscall est plus typique des implants de supply-chain distribués via l'outillage de mise à jour OEM.

Opportunités de détection

Tout appel réussi est haut-fidélité. L'ETW Microsoft-Windows-Kernel-General émet des événements d'écriture firmware. Comparer DriverOrder avant/après via des snapshots de référence — les tableaux Boot Integrity de Microsoft Defender for Endpoint alertent sur les changements. La trace d'activation de privilège (SeSystemEnvironmentPrivilege) est le point de contrôle défensif le moins coûteux. Le System Guard Secure Launch de Windows 11 24H2 / Server 2025 détecte les changements DriverOrder inattendus via le log de boot mesuré et rapporte via Microsoft-Windows-Kernel-Boot.

Exemples de syscalls directs

; Direct syscall stub for NtSetDriverEntryOrder (SSN 0x19F, Win11 24H2)
NtSetDriverEntryOrder PROC
    mov  r10, rcx
    mov  eax, 19Fh
    syscall
    ret
NtSetDriverEntryOrder ENDP

// Educational. Real bootkits still need a signed (or signature-bypass) EFI binary.
// 1. attacker added Driver1234 via NtAddDriverEntry pointing at \EFI\evil.efi
// 2. query current order, prepend 0x1234, write it back.
BOOLEAN was;
RtlAdjustPrivilege(SE_SYSTEM_ENVIRONMENT_PRIVILEGE, TRUE, FALSE, &was);

ULONG existing[32];
ULONG count = ARRAYSIZE(existing);
if (!NT_SUCCESS(NtQueryDriverEntryOrder(existing, &count))) return -1;

ULONG reordered[33] = { 0x1234 };
RtlCopyMemory(&reordered[1], existing, count * sizeof(ULONG));

NTSTATUS s = NtSetDriverEntryOrder(reordered, count + 1);

Mappings MITRE ATT&CK

• T1542.001Pre-OS Boot: System Firmwaremitre ↗
• T1542.003Pre-OS Boot: Bootkitmitre ↗
• T1547Boot or Logon Autostart Executionmitre ↗