BIOS ルートキット.

BIOS ルートキットは、UEFI 普及前の x86 システムで用いられていた Basic Input/Output System(BIOS)ファームウェアを改ざんし、OS の保護機構が読み込まれる前のごく早いブート段階で制御を奪います。そこからセキュリティツールを無効化し、他のマルウェアを隠し、マザーボードの SPI フラッシュチップに常駐するため OS の再インストールやディスク交換すら生き延びます。Mebromi(2011)は在野で確認された最初の BIOS ルートキットで、Award BIOS を狙い、駆除後にマルウェアを再投下しました。

BIOS の衰退に伴い、この技術は UEFI インプラントへ移行しました。2018 年 9 月、ESET は在野で発見された初の UEFI ルートキット LoJax を公表しました。ロシア系の Sednit グループ(APT28/Fancy Bear)が使用し、Absolute LoJack/Computrace の盗難防止エージェントを流用し、バルカン半島や中東欧の標的の SPI フラッシュを書き換えました。2022 年には Kaspersky がフラッシュに潜む MoonBounce(APT41 に帰属)を発見。2023 年 3 月、ESET は完全にパッチ適用済みの Windows 11 でも Secure Boot を回避する初の在野 UEFI ブートキット BlackLotus を分析しました。これは CVE-2022-21894(「Baton Drop」)を悪用し、パッチ済みだが失効されていない署名付きブートローダーを使って BitLocker・HVCI・Defender を無効化し、フォーラムで約 5000 ドルで販売されていました。

flowchart TD
  A[攻撃者が SPI/BIOS チップを書き換え] --> B[ファームウェアインプラントが常駐]
  B --> C[電源投入時に OS より前に実行]
  C --> D[Secure Boot / AV / BitLocker を無効化]
  D --> E[カーネルペイロードを読み込み]
  E --> F[再インストール後に OS を再感染]
  G[防御: Secure Boot + dbx 失効・<br/>Boot Guard・SPI 書込保護・<br/>計測ブート / TPM 証明] -.遮断.-> C

対策には、最新の dbx 失効リストを備えた UEFI Secure Boot、Intel Boot Guard、ベンダー提供の SPI フラッシュ書き込み保護、署名付きファームウェア更新、TPM に基づく計測ブートによる完全性証明が含まれ、物理およびサプライチェーンの統制で補完します。