T1542.003: 引导工具包

摘要

攻击者可能使用引导工具包（bootkit）在系统上持久化。引导工具包是一种恶意软件变体，它修改硬盘的引导扇区，使恶意代码在计算机操作系统加载之前执行。引导工具包位于操作系统之下的层级，除非组织怀疑被使用了引导工具包并能相应采取行动，否则可能难以进行完全修复。 在 BIOS 系统中，引导工具包可能修改主引导记录（MBR）和/或卷引导记录（VBR）。(Citation: Mandiant M Trends 2016) MBR 是 BIOS 完成硬件初始化后首先加载的磁盘区域。它是引导加载程序所在的位置。拥有对引导驱动器原始访问权限的攻击者可能覆盖此区域，将启动期间的执行从正常的引导加载程序转向攻击者代码。(Citation: Lau 2011) MBR 将引导过程的控制权传递给 VBR。与 MBR 的情况类似，拥有对引导驱动器原始访问权限的攻击者可能覆盖 VBR，以将启动期间的执行转向攻击者代码。 在 UEFI（统一可扩展固件接口）系统中，引导工具包可能改为在 EFI 系统分区（ESP）中创建或修改文件。ESP 是包含 UEFI 的设备所用数据存储上的一个分区，允许系统引导操作系统及系统使用的其他实用程序。攻击者可以使用 ESP 中新创建或修补的文件来运行恶意内核代码。(Citation: Microsoft Security)(Citation: welivesecurity)