UEFI (Unified Extensible Firmware Interface) — современный стандарт микропрограммы, которая инициализирует оборудование компьютера и загружает операционную систему; пришёл на смену устаревшему BIOS.
Как работает UEFI
UEFI вырос из разработанного Intel стандарта EFI и поддерживается организацией UEFI Forum. Прошивка хранится во флеш-микросхеме на материнской плате. При включении компьютера она инициализирует процессор, память и устройства, загружает драйверы, а затем запускает загрузчик из системного раздела EFI на диске. В отличие от BIOS, UEFI поддерживает большие GPT-диски, графический интерфейс настройки, загрузку по сети и, главное, Secure Boot: каждый компонент цепочки загрузки должен быть подписан доверенным ключом. Вместе с модулем TPM процесс загрузки можно также измерять для последующей проверки.
Почему UEFI важен для безопасности
Вредонос в UEFI запускается раньше операционной системы и её средств защиты и переживает переустановку Windows и даже замену жёсткого диска. Известные случаи:
- LoJax (2018) — первый UEFI-руткит, обнаруженный в реальных атаках; его приписывают APT28.
- MosaicRegressor (2020) и MoonBounce (2022) — импланты в прошивке, использовавшиеся в шпионских кампаниях.
- BlackLotus (2023) — буткит, который обходил Secure Boot на полностью обновлённой Windows 11 с помощью уязвимости CVE-2022-21894.
Важны и ошибки реализации: LogoFAIL (2023) показал, что парсеры изображений в прошивках UEFI можно атаковать вредоносным логотипом загрузки, а PKfail (2024) выявил сотни моделей устройств, которые поставлялись с недоверенными тестовыми ключами Secure Boot.
Как защитить UEFI
- Включить Secure Boot и установить пароль на настройки прошивки.
- Устанавливать обновления UEFI/BIOS от производителя устройства.
- Поддерживать в актуальном состоянии список отзыва Secure Boot (DBX) в Windows.
- Использовать средства защиты конечных точек, умеющие сканировать прошивку и проверять её целостность.
