NtSetSystemEnvironmentValue

Prototype

NTSTATUS NtSetSystemEnvironmentValue(
  PUNICODE_STRING VariableName,
  PUNICODE_STRING VariableValue
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 BA 01 00 00      mov eax, 0x1BA
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Écrivain compagnon de NtQuerySystemEnvironmentValue : persistance BIOS NV-RAM héritée, sans espace GUID et avec un champ de longueur 16 bits. Nécessite SeSystemEnvironmentPrivilege, détenu par défaut uniquement par SYSTEM et par les administrateurs après activation explicite via RtlAdjustPrivilege. Sur les machines UEFI modernes, la couche de transition firmware refuse ou ignore souvent ces écritures ; le vrai travail de persistance a migré vers NtSetSystemEnvironmentValueEx.

Usage courant par les malwares

Valeur offensive moderne marginale. La surface de persistance intéressante (écriture de variables EFI que le chargeur d'OS approuve, ex. le modèle LoJax) est dans la contrepartie Ex. Des implants anciens/machines héritées et quelques PoC d'implants firmware ont utilisé cet appel pour basculer des paramètres BIOS, mais il est rare dans le tradecraft de production actuel.

Opportunités de détection

Considérez tout appel réussi comme un signal à haute fidélité : les écrivains légitimes se limitent aux outils de classe bcdedit et à la gestion firmware OEM. Auditer la transition d'activation de privilège (ajustement de SeSystemEnvironmentPrivilege via NtAdjustPrivilegesToken) — c'est le premier point de contrôle blue-team. ETW Microsoft-Windows-Kernel-General émet des événements d'accès firmware.

Exemples de syscalls directs

; Direct syscall stub for NtSetSystemEnvironmentValue (SSN 0x1BA, Win11 24H2)
NtSetSystemEnvironmentValue PROC
    mov  r10, rcx
    mov  eax, 1BAh
    syscall
    ret
NtSetSystemEnvironmentValue ENDP

// Enable SeSystemEnvironmentPrivilege first — otherwise the syscall returns STATUS_PRIVILEGE_NOT_HELD.
BOOLEAN was;
RtlAdjustPrivilege(SE_SYSTEM_ENVIRONMENT_PRIVILEGE, TRUE, FALSE, &was);

UNICODE_STRING name, value;
RtlInitUnicodeString(&name,  L"BootOrder");
RtlInitUnicodeString(&value, L"0001000200030004");

NTSTATUS s = NtSetSystemEnvironmentValue(&name, &value);
// On a UEFI box prefer NtSetSystemEnvironmentValueEx with a vendor GUID — modern firmware
// will not honour legacy-namespace writes.

Mappings MITRE ATT&CK

• T1542.001Pre-OS Boot: System Firmwaremitre ↗
• T1106Native APImitre ↗