Análise de Persistência de UEFI Bootkit

Quando Usar

• Um sistema comprometido restabelece a comunicação C2 após a reinstalação do SO ou a substituição do disco.
• O Secure Boot foi adulterado, desativado ou exibe registro inesperado de Machine Owner Key (MOK).
• A verificação de integridade do firmware falha em comparação com as linhas de base fornecidas pelo fornecedor.
• Forense de memória revela componentes de rootkit carregando durante a fase inicial de boot.
• Investigação de campanhas de ameaças persistentes avançadas (APT) conhecidas por implantar implantes UEFI.
• Auditoria da postura de segurança do firmware para o endurecimento de endpoints corporativos.

Não use para bootkits padrão baseados em MBR em sistemas BIOS legados sem UEFI; use análise de bootkit MBR/VBR em vez disso.

Pré-requisitos

• Framework chipsec para dump de flash SPI, inspeção de variáveis UEFI e módulos de segurança de firmware.
• UEFITool / UEFIExtract para análise de volume de firmware e extração de drivers DXE.
• Python 3.8+ com os módulos struct, hashlib, subprocess e os.
• USB live Linux bootável para análise offline (evite executar o SO comprometido).
• Volatility 3 para forense de memória de artefatos da fase de boot.
• YARA com conjuntos de regras de malware UEFI para detecção baseada em padrões.
• Acesso às linhas de base de firmware do fornecedor para comparação de integridade.

Fluxo de Trabalho

Etapa 1: Dump do Firmware SPI Flash

Adquira o firmware UEFI do chip SPI flash para análise offline:

# Using chipsec to dump SPI flash contents
python chipsec_util.py spi dump firmware_dump.rom

# Using flashrom as an alternative
flashrom -p internal -r firmware_dump.rom

# Verify dump integrity
sha256sum firmware_dump.rom

# Read SPI flash descriptor information
python chipsec_util.py spi info

# Check SPI flash region access permissions
python chipsec_main.py -m common.spi_access

# Verify BIOS write protection is enabled
python chipsec_main.py -m common.bios_wp

# Check SPI flash controller lock
python chipsec_main.py -m common.spi_lock

Etapa 2: Inspeção de Variáveis UEFI

Enumere e analise variáveis UEFI em busca de modificações não autorizadas:

# List all UEFI variables on a live system
python chipsec_util.py uefi var-list

# List UEFI variables from a SPI flash dump
python chipsec_util.py uefi var-list-spi firmware_dump.rom

# Read specific Secure Boot variables
python chipsec_util.py uefi var-read SecureBoot 8BE4DF61-93CA-11D2-AA0D-00E098032B8C
python chipsec_util.py uefi var-read SetupMode 8BE4DF61-93CA-11D2-AA0D-00E098032B8C
python chipsec_util.py uefi var-read PK 8BE4DF61-93CA-11D2-AA0D-00E098032B8C
python chipsec_util.py uefi var-read KEK 8BE4DF61-93CA-11D2-AA0D-00E098032B8C
python chipsec_util.py uefi var-read db D719B2CB-3D3A-4596-A3BC-DAD00E67656F

# Dump UEFI key databases for analysis
python chipsec_util.py uefi keys

# Check Secure Boot configuration module
python chipsec_main.py -m common.secureboot.variables

Etapa 3: Análise da Partição EFI System (ESP)

Inspecione a ESP em busca de componentes de boot não autorizados ou modificados:

# Mount ESP (typically the first FAT32 partition, ~100-500MB)
mkdir /mnt/esp
mount /dev/sda1 /mnt/esp

# List all files on ESP with timestamps
find /mnt/esp -type f -exec ls -la {} \;

# Check for BlackLotus indicators - custom directory under ESP:/system32/
ls -la /mnt/esp/system32/ 2>/dev/null

# Verify Windows Boot Manager signature
sigcheck -a /mnt/esp/EFI/Microsoft/Boot/bootmgfw.efi

# Hash all EFI binaries for comparison against known-good values
find /mnt/esp -name "*.efi" -exec sha256sum {} \;

# Check for unauthorized .efi files outside standard directories
find /mnt/esp -name "*.efi" | grep -v "Microsoft\|Boot\|ubuntu\|grub"

# Look for grubx64.efi planted by BlackLotus
find /mnt/esp -name "grubx64.efi" -exec sha256sum {} \;

# Examine MeasuredBoot logs for anomalies (Windows)
# Logs located at C:\Windows\Logs\MeasuredBoot\

Etapa 4: Escaneamento de Firmware em Busca de Assinaturas Conhecidas de Bootkit

Analise o dump do firmware em busca de padrões conhecidos de malware UEFI:

# Extrai todos os módulos de firmware com UEFIExtract
UEFIExtract firmware_dump.rom all

# Gera uma lista de permissões de módulos de firmware a partir da linha de base do fornecedor
python chipsec_main.py -m tools.uefi.whitelist -a generate,baseline.json,firmware_vendor.rom

# Compara o firmware atual com a lista de permissões
python chipsec_main.py -m tools.uefi.whitelist -a check,baseline.json,firmware_dump.rom

# Escaneia o firmware com regras YARA específicas para UEFI
yara -r uefi_bootkits.yar firmware_dump.rom

# Escaneia módulos extraídos individualmente
find firmware_dump.rom.dump -name "*.efi" -exec yara -r uefi_bootkits.yar {} \;


…