CyberGlossary

Malware

Rootkit UEFI

Também conhecido como: Implante UEFI, Bootkit EFI

Definição

Rootkit implantado no firmware UEFI que carrega antes do SO, persiste a wipes de disco e contorna a maioria das soluções de segurança de endpoint.

Um rootkit UEFI aloja-se na Unified Extensible Firmware Interface — sucessor moderno do BIOS — normalmente em módulos da flash SPI ou em drivers de arranque. Corre antes do sistema operativo, pelo que pode desativar controlos de segurança, alterar componentes de boot e voltar a instalar outro malware após reinstalações. Estes implantes são geralmente colocados por atores sofisticados via privilégios de kernel, acesso físico ou comprometimento da cadeia de fornecimento. As defesas incluem Secure Boot imposto, atualizações de firmware assinadas, measured boot com atestação TPM, ferramentas de integridade do fabricante (p. ex., CHIPSEC), Boot Guard, proteção de escrita no BIOS e controlos de integridade na cadeia de atualizações de firmware.

Exemplos

  • LoJax, o primeiro rootkit UEFI publicamente conhecido em uso real.
  • Bootkits UEFI MoonBounce e BlackLotus dirigidos a empresas.

Termos relacionados