mukul975/hunting-bootkits-in-efi-system-partition

基线化 EFI 系统分区（ESP），通过挂载 ESP、对引导加载程序进行哈希与签名校验、使用 YARA 扫描，以及标记异常的非 EFI 文件或越权变更的引导加载程序，狩猎 ESPecter、BlackLotus、Bootkitty、Glupteba 等恶意 EFI 二进制。适用于针对固件/引导套件持久化（MITRE ATT&CK T1542.003）的主动威胁狩猎，或调查能够在操作系统重装后存活的疑似 UEFI 级别入侵。

研究分析开发 Agent Agent 技能调研仓库问答 UEFI 启动套件检测固件取证分析威胁狩猎 YARA 恶意扫描安全基线核查持久化排查

技术栈: cursor3.1万+许可证: Apache-2.0开发者: mukul975

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

在 EFI 系统分区中狩猎引导套件

概述

EFI 系统分区（ESP）是一个小型的 FAT32 格式化分区，平台固件在上电时读取它以定位并执行操作系统的引导加载程序。由于它在操作系统、内核以及任何 EDR 代理之前执行，ESP 是高级攻击者最觊觎的持久化位置之一。驻留在 ESP 上的 UEFI 引导套件能够在操作系统重装、操作系统分区重新格式化以及大多数终端防御措施下存活。

本技能遵循 Eclypsium 发布的检测研究（"Enhanced Threat Detection: Bootloaders, Bootkits, and Secure Boot"，以及 Bootkitty 与 Glupteba 分析），并与 Rapid7 为 Velociraptor（Windows.Forensics.UEFI、Windows.Detection.Yara.UEFI）记录的 ESP 狩猎方法保持一致。威胁背景具体且时效性强：

ESPecter（ESET，2021）——一种 UEFI 引导套件，以打过补丁的 Windows 引导管理器（bootmgfw.efi）以及恶意内核模式驱动形式持久化在 ESP 上。它标志着 UEFI 威胁 从 SPI 闪存迁移到 ESP，在那里部署要容易得多。
BlackLotus（2023）——首个能够在完全打补丁的 Windows 11 上绕过安全启动（Secure Boot）的野外 UEFI 引导套件，利用 CVE-2022-21894（"baton drop"）并在 ESP 上暂存一个易受攻击的已签名 bootmgfw.efi。
Bootkitty（2024）——首个针对 Linux 的 UEFI 引导套件，投放到 ESP 上。
Glupteba——商品化恶意软件，其 UEFI 变体替换 EFI 分区上的软件。

Eclypsium 与 Rapid7 的核心检测洞察在于：引导加载程序通常仅在厂商或操作系统更新期间发生变化；对 ESP 二进制的越权变更、未经签名或不受信任签名的引导加载程序，或 ESP 根目录下任何不在 EFI/ 目录中的文件，都是高置信度的入侵指标。本技能建立该基线并狩猎与之偏离的情况。