Analisando Amostras de Bootkit e Rootkit

Quando Usar

• Um sistema mostra sinais de comprometimento que persistem após a reinstalação do SO.
• Antivírus e EDR não conseguem detectar malware, apesar de evidências claras de comprometimento.
• O UEFI Secure Boot foi desabilitado ou apresenta violações de integridade.
• Forense de memória revela comportamento de rootkit (processos ocultos, chamadas de sistema interceptadas).
• Investigando ameaças de nível estatal conhecidas por implantar bootkits (APT28, APT41, Equation Group).

Não use para malware de modo de usuário padrão; bootkits e rootkits operam em um nível fundamentalmente diferente, exigindo técnicas de análise especializadas.

Pré-requisitos

• Ferramentas de imagem de disco (dd, FTK Imager) para adquirir setores MBR/VBR.
• UEFITool para análise de volume de firmware UEFI e extração de módulos.
• chipsec para avaliação de segurança de firmware em nível de hardware.
• Ghidra com suporte a modo real x86 e 16 bits para análise de código MBR.
• Volatility 3 para detecção de artefatos de rootkit em nível de kernel.
• USB inicializável com Linux Live para análise offline do sistema.

Fluxo de Trabalho

Passo 1: Adquirir Setores de Boot e Firmware

Extraia o MBR, VBR e o firmware UEFI para análise offline:

# Acquire MBR (first 512 bytes of disk)
dd if=/dev/sda of=mbr.bin bs=512 count=1

# Acquire first track (usually contains bootkit code beyond MBR)
dd if=/dev/sda of=first_track.bin bs=512 count=63

# Acquire VBR (Volume Boot Record - first sector of partition)
dd if=/dev/sda1 of=vbr.bin bs=512 count=1

# Acquire UEFI System Partition
mkdir /mnt/efi
mount /dev/sda1 /mnt/efi
cp -r /mnt/efi/EFI /analysis/efi_backup/

# Dump UEFI firmware (requires chipsec or flashrom)
# Using chipsec:
python chipsec_util.py spi dump firmware.rom

# Using flashrom:
flashrom -p internal -r firmware.rom

# Verify firmware dump integrity
sha256sum firmware.rom

Passo 2: Analisar MBR/VBR para Código de Bootkit

Examine o código do setor de boot em busca de modificações maliciosas:

# Disassemble MBR code (16-bit real mode)
ndisasm -b16 mbr.bin > mbr_disasm.txt

# Compare MBR with known-good Windows MBR
# Standard Windows MBR begins with: EB 5A 90 (JMP 0x5C, NOP)
# Standard Windows 10 MBR: 33 C0 8E D0 BC 00 7C (XOR AX,AX; MOV SS,AX; MOV SP,7C00h)

python3 << 'PYEOF'
with open("mbr.bin", "rb") as f:
    mbr = f.read()

# Check MBR signature (bytes 510-511 should be 0x55AA)
if mbr[510:512] == b'\x55\xAA':
    print("[*] Valid MBR signature (0x55AA)")
else:
    print("[!] Invalid MBR signature")

# Check for known bootkit signatures
bootkit_sigs = {
    b'\xE8\x00\x00\x5E\x81\xEE': "TDL4/Alureon bootkit",
    b'\xFA\x33\xC0\x8E\xD0\xBC\x00\x7C\x8B\xF4\x50\x07': "Standard Windows MBR (clean)",
    b'\xEB\x5A\x90\x4E\x54\x46\x53': "Standard NTFS VBR (clean)",
}

for sig, name in bootkit_sigs.items():
    if sig in mbr:
        print(f"[{'!' if 'clean' not in name else '*'}] Signature match: {name}")

# Check partition table entries
print("\nPartition Table:")
for i in range(4):
    offset = 446 + (i * 16)
    entry = mbr[offset:offset+16]
    if entry != b'\x00' * 16:
        boot_flag = "Active" if entry[0] == 0x80 else "Inactive"
        part_type = entry[4]
        start_lba = int.from_bytes(entry[8:12], 'little')
        size_lba = int.from_bytes(entry[12:16], 'little')
        print(f"  Partition {i+1}: Type=0x{part_type:02X} {boot_flag} Start=LBA {start_lba} Size={size_lba} sectors")
PYEOF

Passo 3: Analisar Firmware UEFI para Implantes

Inspecione os volumes de firmware UEFI em busca de módulos não autorizados:

# Extract UEFI firmware components with UEFITool
# GUI: Open firmware.rom -> Inspect firmware volumes
# CLI:
UEFIExtract firmware.rom all

# List all DXE drivers (most common target for UEFI implants)
find firmware.rom.dump -name "*.efi" -exec file {} \;

# Compare against known-good firmware module list
# Each UEFI module has a GUID - compare against vendor baseline

# Verify Secure Boot configuration
python chipsec_main.py -m common.secureboot.variables

# Check SPI flash write protection
python chipsec_main.py -m common.bios_wp

# Check for known UEFI malware patterns
yara -r uefi_malware.yar firmware.rom

Pontos de Detecção Conhecidos de Bootkits UEFI:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
LoJax (APT28):
  - SPI flash modificado
  - Adicionado driver DXE que instala um agente no Windows
  - Persiste após reinstalação do SO e substituição do disco

BlackLotus:
  - Explora a CVE-2022-21894 para contornar o Secure Boot
  - Modifica o bootloader da Partição de Sistema EFI
  - Instala um driver de kernel durante o boot

CosmicStrand:
  - Modifica o módulo de firmware CORE_DXE

…