Буткит (bootkit) — вредоносная программа, которая заражает процесс загрузки компьютера — загрузочный сектор или компоненты загрузки UEFI, — чтобы запускаться раньше операционной системы и контролировать её снизу.
Как работают буткиты
При включении компьютера прошивка запускает загрузчик ОС, а тот загружает ядро операционной системы. Буткит встраивается в эту цепочку. Старые буткиты перезаписывали главную загрузочную запись (MBR) или загрузочную запись тома (VBR) на диске; современные нацелены на UEFI — либо на загрузочные файлы в системном разделе EFI, либо, реже, на саму прошивку. Поскольку буткит запускается первым, он может модифицировать ядро в памяти, отключать защитные механизмы и загружать руткит, скрывающий файлы, процессы и сетевой трафик. В MITRE ATT&CK техника называется Pre-OS Boot: Bootkit (T1542.003).
Почему буткиты опасны
Буткиты крайне скрытны и живучи: антивирус внутри Windows не видит того, что произошло до его запуска, а некоторые буткиты переживают даже переустановку ОС. Примеры:
- TDL4 (Alureon) (около 2010 года) — широко распространённый MBR-буткит, использовавшийся для построения ботнета.
- Petya (2016) — шифровальщик, который подменял MBR и шифровал файловую таблицу диска.
- ESPecter (2021) — буткит, модифицировавший Windows Boot Manager в системном разделе EFI.
- BlackLotus (2023) — первый публично известный UEFI-буткит, способный обходить Secure Boot на полностью обновлённых системах Windows 11; его продавали на хакерских форумах.
Как защититься от буткитов
- Включить UEFI Secure Boot и обновлять прошивку, загрузчики и список отозванных подписей Secure Boot (DBX).
- Использовать TPM с измеряемой загрузкой (measured boot), чтобы выявлять изменения загрузочных компонентов.
- Защитить настройки прошивки паролем и ограничить права администратора.
- При подозрении на буткит восстанавливать систему с доверенного носителя, а при заражении прошивки — перепрошивать или заменять оборудование.
