引导级恶意软件(Bootkit)

Bootkit 是一种特殊的 rootkit,会破坏早期引导组件,如主引导记录(MBR)、卷引导记录(VBR)或 UEFI 固件。由于它在操作系统及安全工具之前执行,因此可以关闭防御、挂钩内核代码,并在重装系统后依然存活。现代 Bootkit 会针对 UEFI 变量和 EFI 系统分区。检测需要固件完整性校验、结合 TPM 远程证明的安全启动/可测量启动,以及对引导介质进行离线取证镜像。缓解措施包括启用 UEFI 安全启动并保持吊销列表最新、设置 BIOS/固件密码、禁用 CSM 兼容引导,并使用全盘加密以发现引导链篡改。