Ein Bootkit ist eine besonders gefährliche Form eines Rootkits, die nicht im laufenden Betriebssystem, sondern im Boot-Prozess selbst sitzt. Ein Bootkit infiziert den Master Boot Record (MBR), den Volume Boot Record oder die UEFI-Firmware und wird damit geladen, bevor das Betriebssystem überhaupt startet. Es braucht das Betriebssystem nicht, um aktiv zu werden – es ist vielmehr der Code, der das Betriebssystem anschließend lädt.
Warum Bootkits so gefährlich sind
Weil das Bootkit unterhalb des Betriebssystems arbeitet, kann es das System täuschen, bevor Sicherheitssoftware überhaupt läuft. Prozesse, Dateien und Treiber lassen sich so praktisch unsichtbar machen. Eine normale Neuinstallation des Betriebssystems hilft nicht, wenn der Boot-Sektor oder die Firmware infiziert ist. Auch der Bootloader und das BIOS beziehungsweise UEFI sind typische Ansatzpunkte, um die gesamte Startkette zu kontrollieren.
Bekannte Beispiele
- TDL4: Die vierte Version der TDSS-Familie infizierte nach einer Analyse von Kaspersky aus dem Jahr 2011 mehr als 4,5 Millionen Computer weltweit über den Master Boot Record.
- LoJax: 2018 entdeckte ESET den ersten in freier Wildbahn gefundenen UEFI-Firmware-Rootkit. Die als APT28 bekannte Gruppe verankerte ihn über einen Treiber im SPI-Flash der Firmware und verschaffte sich so eine Persistenz, die selbst eine Festplatten-Formatierung übersteht.
Schutz und Gegenmaßnahmen
Gegen Bootkits helfen nur Maßnahmen, die die Integrität der Boot-Kette prüfen, bevor Code ausgeführt wird:
- UEFI Secure Boot verlangt signierte Boot-Komponenten und blockiert dadurch viele klassische Angriffe – ist aber keine absolute Garantie, wie LoJax gezeigt hat.
- TPM-Measured Boot misst jeden Schritt der Startkette und speichert die Werte im Trusted Platform Module. Abweichungen lassen sich per Remote Attestation erkennen, auch wenn das System selbst bereits kompromittiert ist.
- Regelmäßige Firmware-Updates und der Einsatz vertrauenswürdiger Wiederherstellungsmedien.
Ist ein Bootkit aktiv, ist meist ein vollständiges Zurücksetzen der Firmware zusammen mit einer Neuinstallation die einzig sichere Lösung.
Verwandte Grundlagen: Malware, Computervirus.