Caçando Bootkits na Partição do Sistema EFI

Visão Geral

A Partição do Sistema EFI (ESP) é uma pequena partição formatada em FAT32 que o firmware da plataforma lê ao ligar para localizar e executar o carregador de inicialização do sistema operacional. Como ela executa antes do sistema operacional, do kernel e de qualquer agente EDR, a ESP é um dos locais de persistência mais cobiçados por adversários avançados. Bootkits UEFI que residem na ESP sobrevivem à reinstalação do SO, à reformatação do disco da partição do SO e à maioria das defesas de endpoint.

Esta habilidade segue a pesquisa de detecção publicada pela Eclypsium ("Enhanced Threat Detection: Bootloaders, Bootkits, and Secure Boot" e as análises Bootkitty e Glupteba) e se alinha com a metodologia de caça à ESP documentada pela Rapid7 para o Velociraptor (Windows.Forensics.UEFI, Windows.Detection.Yara.UEFI). O contexto da ameaça é concreto e atual:

• ESPecter (ESET, 2021) — um bootkit UEFI que persiste na ESP como um Gerenciador de Inicialização do Windows modificado (bootmgfw.efi) mais drivers maliciosos em modo kernel. Ele marcou a migração de ameaças UEFI da memória flash SPI para a ESP, onde são muito mais fáceis de implantar.
• BlackLotus (2023) — o primeiro bootkit UEFI em uso capaz de contornar o Secure Boot em Windows 11 totalmente corrigido, explorando a CVE-2022-21894 ("baton drop") e armazenando um bootmgfw.efi assinado vulnerável na ESP.
• Bootkitty (2024) — o primeiro bootkit UEFI visando Linux, depositado na ESP.
• Glupteba — malware comum cuja variante UEFI substitui software na partição EFI.

A principal percepção de detecção da Eclypsium e da Rapid7 é que o bootloader normalmente muda apenas durante uma atualização do fornecedor ou do SO; uma alteração fora de banda nos binários da ESP, um bootloader não assinado ou assinado de forma não confiável, ou qualquer arquivo na raiz da ESP que não esteja sob o diretório EFI/ é um indicador de comprometimento de alta fidelidade. Esta habilidade constrói essa linha de base e caça desvios dela.

Quando Usar

• Durante caçadas proativas de ameaças para persistência de firmware/bootkit (MITRE ATT&CK T1542.003 — Pre-OS Boot: Bootkit)
• Após um incidente em que um adversário alcançou privilégios SYSTEM/root e pode ter estabelecido persistência abaixo do SO
• Ao validar a postura do Secure Boot em uma frota e confirmar a integridade da cadeia de inicialização
• Como uma verificação periódica de integridade, comparando o conteúdo atual da ESP com uma linha de base confiável (golden baseline)
• Ao triar hosts que mostram inconsistências no measured-boot (TPM PCR)

Pré-requisitos

• Acesso administrativo/root ao host de destino (montar e ler a ESP requer elevação)
• Ferramentas de análise Linux — instalar no Debian/Ubuntu:

  sudo apt-get update
  sudo apt-get install -y sbsigntool pesign efitools efibootmgr binwalk yara
  pip install pefile
  

• UEFITool para inspecionar firmware/binários (baixar de https://github.com/LongSoft/UEFITool/releases)
• Uma linha de base confiável (golden baseline) de hashes de binários EFI para as versões de SO/fornecedor em escopo (construa-a uma vez em um host conhecido como limpo e recém-imaginado)
• Para alvos Windows: WinPE ou um ambiente de boot forense, ou Velociraptor com o artefato Windows.Forensics.UEFI

Objetivos

• Montar e enumerar a ESP somente leitura sem alterar evidências
• Inventariar todos os binários EFI e computar hashes criptográficos
• Verificar as assinaturas do Secure Boot em cada boot loader contra chaves confiáveis
• Comparar os conteúdos com uma linha de base confiável para expor alterações fora de banda
• Escanear binários da ESP com YARA para assinaturas de bootkit conhecidas
• Sinalizar anomalias: arquivos fora de EFI/, loaders não assinados, bootmgfw.efi/grubx64.efi modificados e entradas de boot adulteradas
• Confirmar a integridade do measured-boot (TPM PCR 0/2/4) onde o TPM está presente

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

Passo 1: Identificar e montar a ESP somente leitura

A ESP é uma partição FAT32, geralmente marcada com EF00 (GPT) ou esp,boot. Localize-a e monte-a somente leitura para preservar evidências.

# Identificar a ESP (código de tipo EF00 / "EFI System")
sudo lsblk -o NAME,FSTYPE,PARTTYPENAME,MOUNTPOINT
sudo fdisk -l | grep -i "EFI System"

# Montar a ESP somente leitura (substitua /dev/sda1 pela partição identificada)
sudo mkdir -p /mnt/esp
sudo mount -o ro,umask=077 /dev/sda1 /mnt/esp

# Confirmar o layout canônico: EFI/ deve ser o único diretório de nível superior

…