Буткіт (bootkit) — шкідлива програма, яка заражає процес завантаження комп’ютера — завантажувальний сектор або компоненти завантаження UEFI, — щоб запускатися раніше за операційну систему й контролювати її знизу.
Як працюють буткіти
Під час увімкнення комп’ютера прошивка запускає завантажувач ОС, а той завантажує ядро операційної системи. Буткіт вбудовується в цей ланцюжок. Старі буткіти перезаписували головний завантажувальний запис (MBR) або завантажувальний запис тому (VBR) на диску; сучасні націлені на UEFI — або на завантажувальні файли в системному розділі EFI, або, рідше, на саму прошивку. Оскільки буткіт стартує першим, він може змінювати ядро в пам’яті, вимикати захисні механізми й завантажувати руткіт, що приховує файли, процеси та мережевий трафік. У MITRE ATT&CK техніка називається Pre-OS Boot: Bootkit (T1542.003).
Чому буткіти небезпечні
Буткіти надзвичайно приховані й живучі: антивірус усередині Windows не бачить того, що сталося до його запуску, а деякі буткіти переживають навіть перевстановлення ОС. Приклади:
- TDL4 (Alureon) (близько 2010 року) — поширений MBR-буткіт, який використовували для побудови ботнету.
- Petya (2016) — програма-вимагач, що підміняла MBR і шифрувала файлову таблицю диска.
- ESPecter (2021) — буткіт, який модифікував Windows Boot Manager у системному розділі EFI.
- BlackLotus (2023) — перший публічно відомий UEFI-буткіт, здатний обходити Secure Boot на повністю оновлених системах Windows 11; його продавали на хакерських форумах.
Як захиститися від буткітів
- Увімкнути UEFI Secure Boot та оновлювати прошивку, завантажувачі й список відкликаних підписів Secure Boot (DBX).
- Використовувати TPM із вимірюваним завантаженням (measured boot), щоб виявляти зміни завантажувальних компонентів.
- Захистити налаштування прошивки паролем і обмежити права адміністратора.
- У разі підозри на буткіт відновлювати систему з довіреного носія, а в разі зараження прошивки — перепрошивати або замінювати обладнання.
