BIOS-Rootkit.

Ein BIOS-Rootkit modifiziert die Basic-Input/Output-System-Firmware – den Pre-UEFI-Code von x86-Systemen –, um schon sehr früh beim Booten die Kontrolle zu übernehmen, noch vor jedem OS-Schutz. Von dort kann es Sicherheitslösungen deaktivieren, weitere Malware verbergen und OS-Neuinstallationen oder sogar einen Festplattentausch überleben, da es im SPI-Flash-Chip des Mainboards liegt. Mebromi (2011) war das erste in freier Wildbahn gesehene BIOS-Rootkit; es zielte auf das Award-BIOS, um Malware nach der Bereinigung erneut abzulegen.

Mit dem Verschwinden des BIOS wanderte die Technik zu UEFI-Implantaten. Im September 2018 enthüllte ESET LoJax, das erste in der Praxis gefundene UEFI-Rootkit, eingesetzt von der russischen Sednit-Gruppe (APT28/Fancy Bear); es zweckentfremdete den Absolute-LoJack/Computrace-Diebstahlschutzagenten und flashte den SPI-Flash von Zielen auf dem Balkan sowie in Mittel-/Osteuropa neu. 2022 fand Kaspersky MoonBounce (APT41 zugeschrieben) im Flash verborgen. Im März 2023 analysierte ESET BlackLotus, den ersten In-the-wild-UEFI-Bootkit, der Secure Boot auf vollständig gepatchten Windows-11-Systemen umging, indem er CVE-2022-21894 („Baton Drop") ausnutzte: gepatchte, aber nicht widerrufene signierte Bootloader erlaubten es, BitLocker, HVCI und Defender zu deaktivieren; er wurde in Foren für rund 5000 US-Dollar verkauft.

flowchart TD
  A[Angreifer flasht den SPI/BIOS-Chip] --> B[Firmware-Implantat bleibt bestehen]
  B --> C[Läuft beim Einschalten vor dem OS]
  C --> D[Deaktiviert Secure Boot / AV / BitLocker]
  D --> E[Lädt Kernel-Payload]
  E --> F[Reinfiziert das OS nach Neuinstallation]
  G[Abwehr: Secure Boot + dbx-Widerruf,<br/>Boot Guard, SPI-Schreibschutz,<br/>Measured Boot / TPM-Attestierung] -.blockiert.-> C

Zu den Abwehrmaßnahmen zählen UEFI Secure Boot mit aktuellen dbx-Widerrufslisten, Intel Boot Guard, herstellerseitiger SPI-Flash-Schreibschutz, signierte Firmware-Updates und Measured Boot mit TPM-basierter Integritätsattestierung, ergänzt durch physische und Supply-Chain-Kontrollen.