Bootkit.

Ein Bootkit ist ein spezialisiertes Rootkit, das frühe Boot-Komponenten kompromittiert — den Master Boot Record (MBR), den Volume Boot Record (VBR) oder die UEFI-Firmware — sodass es vor dem Betriebssystem und seinen Sicherheitswerkzeugen ausgeführt wird. Von dieser Position aus kann es Schutzmechanismen deaktivieren, den Kernel hooken und Neuinstallationen des Betriebssystems überleben. Klassische MBR-Bootkits (TDL4/Alureon, Rovnix, Petyas festplattenverschlüsselnder Loader) wichen Implantaten der UEFI-Ära, die auf NVRAM-Variablen und die EFI-Systempartition abzielen.

Wo ein Bootkit in der Boot-Kette sitzt

flowchart LR
  A[Einschalten] --> B[UEFI-Firmware<br/>SPI flash]
  B --> C[Secure Boot<br/>prüft Signaturen]
  C --> D[Boot-Manager<br/>bootmgfw.efi]
  D --> E[OS-Loader / Kernel]
  B -. Firmware-Implant<br/>MoonBounce/LoJax .-> B
  C -. Exploit CVE-2022-21894<br/>Secure Boot umgehen .-> D
  D -. bösartige .efi auf<br/>EFI System Partition .-> D
  E --> F[OS + Sicherheitswerkzeuge<br/>laden zuletzt, bereits unterwandert]

Bekannte Beispiele

LoJax (ESET, 2018) war das erste in freier Wildbahn beobachtete UEFI-Firmware-Rootkit, zugeschrieben Sednit/APT28. MoonBounce (2022) versteckte sich im SPI flash. BlackLotus (2023) wurde das erste Bootkit, das UEFI Secure Boot auf vollständig gepatchtem Windows 11 aushebelte: Es bringt eigene anfällige, aber signierte Boot-Binärdateien mit, um CVE-2022-21894 ("Baton Drop") auszunutzen, und deaktiviert anschließend HVCI, BitLocker und Defender. Da die anfälligen Binärdateien gültig signiert blieben, erforderte Microsofts Behebung eine Sperrung — eine Code-Integritätsrichtlinie in den Updates vom Mai 2023 plus DBX-Ergänzungen (und später Leitlinien in KB5025885), die bei unvorsichtiger Anwendung Dual-Boot-Medien unbrauchbar machen konnten.

Erkennung und Gegenmaßnahmen

Aktivieren Sie UEFI Secure Boot mit aktuellen DBX-Sperrlisten, vergeben Sie Firmware-/BIOS-Passwörter, deaktivieren Sie das Legacy-CSM und nutzen Sie TPM-gestütztes Measured Boot mit Remote-Attestation. Die Erkennung erfordert in der Regel eine Offline-Forensik-Abbildung des SPI flash und der ESP, da einem laufenden, bereits unterwanderten Betriebssystem nicht zugetraut werden kann, seine eigene Boot-Kette zuverlässig zu melden.