Rootkit BIOS.

Un rootkit BIOS modifie le firmware Basic Input/Output System — le code pré-UEFI des systèmes x86 — pour prendre le contrôle très tôt au démarrage, avant toute protection de l'OS. De là, il peut désactiver les outils de sécurité, dissimuler d'autres malwares et survivre aux réinstallations de l'OS, voire au remplacement du disque, car il réside dans la puce de flash SPI de la carte mère. Mebromi (2011) fut le premier rootkit BIOS observé dans la nature, ciblant le BIOS Award pour réinjecter du malware après nettoyage.

La technique a migré vers les implants UEFI à mesure que le BIOS disparaissait. En septembre 2018, ESET a révélé LoJax, le premier rootkit UEFI trouvé dans la nature, utilisé par le groupe russe Sednit (APT28/Fancy Bear) ; il réutilisait l'agent antivol Absolute LoJack/Computrace et reflashait la flash SPI de cibles dans les Balkans et en Europe centrale/orientale. En 2022, Kaspersky a découvert MoonBounce (attribué à APT41) dissimulé dans la flash. En mars 2023, ESET a analysé BlackLotus, le premier bootkit UEFI in-the-wild à contourner Secure Boot sur un Windows 11 entièrement à jour en exploitant CVE-2022-21894 (« Baton Drop ») : les chargeurs signés corrigés mais non révoqués lui permettaient de désactiver BitLocker, HVCI et Defender ; il se vendait environ 5000 dollars sur des forums.

flowchart TD
  A[L'attaquant reflashe la puce SPI/BIOS] --> B[L'implant firmware persiste]
  B --> C[S'exécute avant l'OS à la mise sous tension]
  C --> D[Désactive Secure Boot / AV / BitLocker]
  D --> E[Charge la charge utile en kernel]
  E --> F[Réinfecte l'OS après réinstallation]
  G[Défenses : Secure Boot + révocation dbx,<br/>Boot Guard, protection écriture SPI,<br/>amorçage mesuré / attestation TPM] -.bloque.-> C

Les défenses incluent UEFI Secure Boot avec des listes de révocation dbx à jour, Intel Boot Guard, la protection en écriture de la flash SPI du fabricant, des firmwares signés et un amorçage mesuré avec attestation d'intégrité basée sur TPM, complétés par des contrôles physiques et supply-chain.