CyberGlossary

Schadsoftware

BIOS-Rootkit

Auch bekannt als: Legacy-Firmware-Rootkit

Definition

Ein Rootkit, das die alte BIOS-Firmware infiziert und vor dem Betriebssystem ausgeführt wird, um tiefe Persistenz unterhalb des OS zu erreichen.

Ein BIOS-Rootkit modifiziert das Basic Input/Output System (BIOS) – die Firmware älterer x86-Systeme vor der Verbreitung von UEFI –, um schon früh im Bootvorgang die Kontrolle zu übernehmen. Da das BIOS vor allen OS-Schutzmechanismen läuft, kann das Rootkit Sicherheitslösungen deaktivieren, weitere Malware verbergen und ein frisch installiertes OS erneut infizieren. Für die Erstinfektion sind in der Regel Kernel-Rechte zum Flashen des Chips, ein fehlerhafter Flash-Schutz oder Supply-Chain-Zugriff nötig. Schutzmaßnahmen sind der Wechsel zu UEFI mit Secure Boot, Flash-Schutzmechanismen des Herstellers, signierte Firmware-Updates, BIOS-Schreibschutz, Integritätsattestierung sowie physische und Supply-Chain-Kontrollen. In modernen Systemen wurden BIOS-Rootkits weitgehend durch UEFI-Implantate ersetzt.

Beispiele

  • Mebromi, ein frühes BIOS-Rootkit, das Malware aus der System-Firmware neu installierte.
  • Computrace-ähnliche Diebstahlschutzmodule, die als Persistenzmechanismus missbraucht wurden.

Verwandte Begriffe