CyberGlossary

Logiciels malveillants

Rootkit UEFI

Aussi appelé: Implant UEFI, Bootkit EFI

Définition

Rootkit implanté dans le firmware UEFI, se chargeant avant l'OS, survivant aux effacements de disque et contournant la plupart des défenses endpoint.

Un rootkit UEFI s'installe dans l'Unified Extensible Firmware Interface — successeur moderne du BIOS — généralement dans des modules de la flash SPI ou des pilotes d'amorçage. Il s'exécute avant le système d'exploitation et peut donc désactiver des contrôles de sécurité, modifier des composants de boot et redéployer d'autres malwares après une réinstallation de l'OS. Ces implants sont en général déployés par des acteurs sophistiqués via des privilèges kernel, un accès physique ou une compromission supply-chain. Les défenses comprennent un Secure Boot strict, des firmwares signés, du measured boot avec attestation TPM, des outils d'intégrité du fabricant (ex. CHIPSEC), Boot Guard, la protection en écriture du BIOS et les contrôles d'intégrité de la chaîne de mise à jour firmware.

Exemples

  • LoJax, premier rootkit UEFI connu publiquement utilisé en environnement réel.
  • Bootkits UEFI MoonBounce et BlackLotus ciblant les entreprises.

Termes liés