Ein Bootkit ist Malware, die den Startvorgang eines Computers infiziert – den Bootsektor oder UEFI-Bootkomponenten –, sodass sie vor dem Betriebssystem startet und es von unten kontrollieren kann.
Wie Bootkits funktionieren
Beim Start eines Computers lädt die Firmware einen Bootloader, der wiederum den Kernel des Betriebssystems lädt. Ein Bootkit nistet sich in diese Kette ein. Ältere Bootkits überschrieben den Master Boot Record (MBR) oder den Volume Boot Record der Festplatte; moderne Varianten zielen auf UEFI – entweder auf Bootdateien in der EFI-Systempartition oder, seltener, auf die Firmware selbst. Weil das Bootkit zuerst läuft, kann es den Kernel im Speicher patchen, Sicherheitsfunktionen abschalten und ein Rootkit laden, das Dateien, Prozesse und Netzwerkverkehr verbirgt. MITRE ATT&CK führt die Technik als Pre-OS Boot: Bootkit (T1542.003).
Warum Bootkits gefährlich sind
Bootkits sind extrem unauffällig und hartnäckig: Ein Virenscanner unter Windows sieht nicht, was vor seinem eigenen Start geschah, und manche Bootkits überstehen sogar eine Neuinstallation des Betriebssystems. Beispiele:
- TDL4 (Alureon) (um 2010) – ein weit verbreitetes MBR-Bootkit, mit dem ein Botnetz aufgebaut wurde.
- Petya (2016) – Ransomware, die den MBR ersetzte und die Dateitabelle der Festplatte verschlüsselte.
- ESPecter (2021) – ein Bootkit, das den Windows Boot Manager in der EFI-Systempartition veränderte.
- BlackLotus (2023) – das erste öffentlich bekannte UEFI-Bootkit, das Secure Boot auf vollständig aktualisierten Windows-11-Systemen umgehen konnte; es wurde in kriminellen Foren verkauft.
Wie man sich vor Bootkits schützt
- UEFI Secure Boot aktivieren und Firmware, Bootloader sowie die Sperrliste von Secure Boot (DBX) aktuell halten.
- Ein TPM mit Measured Boot nutzen, um Änderungen an Bootkomponenten zu erkennen.
- Firmware-Einstellungen per Passwort schützen und Administratorrechte beschränken.
- Bei Verdacht auf ein Bootkit das System von vertrauenswürdigen Medien neu aufsetzen und bei Firmware-Infektionen die Firmware neu flashen oder die Hardware ersetzen.
