analyzing-bootkit-and-rootkit-samples

分析 Bootkit 和 Rootkit 样本

适用场景

• 系统在操作系统重装后仍存在持续性被攻陷迹象
• 尽管有明确的被攻陷证据，但杀毒软件和 EDR 均无法检测到恶意软件
• UEFI Secure Boot 已被禁用或显示完整性违规
• 内存取证（Memory Forensics）揭示 rootkit 行为（隐藏进程、系统调用挂钩）
• 调查已知部署 bootkit 的国家级威胁（APT28、APT41、方程式组织）

不适用于标准用户态恶意软件；bootkit 和 rootkit 运行在完全不同的层级，需要专门的分析技术。

前置条件

• 磁盘镜像工具（dd、FTK Imager）用于获取 MBR/VBR 扇区
• UEFITool 用于 UEFI 固件卷分析和模块提取
• chipsec 用于硬件级固件安全评估
• Ghidra，支持 x86 实模式和 16 位模式用于 MBR 代码分析
• Volatility 3 用于内核级 rootkit 工件检测
• 可引导的 Linux Live USB 用于离线系统分析

工作流程

步骤 1：获取引导扇区和固件

提取 MBR、VBR 和 UEFI 固件用于离线分析：

# 获取 MBR（磁盘前 512 字节）
dd if=/dev/sda of=mbr.bin bs=512 count=1

# 获取第一磁道（通常包含 MBR 之外的 bootkit 代码）
dd if=/dev/sda of=first_track.bin bs=512 count=63

# 获取 VBR（卷引导记录 - 分区的第一个扇区）
dd if=/dev/sda1 of=vbr.bin bs=512 count=1

# 获取 UEFI 系统分区
mkdir /mnt/efi
mount /dev/sda1 /mnt/efi
cp -r /mnt/efi/EFI /analysis/efi_backup/

# 转储 UEFI 固件（需要 chipsec 或 flashrom）
# 使用 chipsec：
python chipsec_util.py spi dump firmware.rom

# 使用 flashrom：
flashrom -p internal -r firmware.rom

# 验证固件转储完整性
sha256sum firmware.rom

步骤 2：分析 MBR/VBR 中的 Bootkit 代码

检查引导扇区代码中的恶意修改：

# 反汇编 MBR 代码（16 位实模式）
ndisasm -b16 mbr.bin > mbr_disasm.txt

# 与已知正常的 Windows MBR 对比
# 标准 Windows MBR 以 EB 5A 90（JMP 0x5C, NOP）开头
# 标准 Windows 10 MBR：33 C0 8E D0 BC 00 7C（XOR AX,AX; MOV SS,AX; MOV SP,7C00h）

python3 << 'PYEOF'
with open("mbr.bin", "rb") as f:
    mbr = f.read()

# 检查 MBR 签名（510-511 字节应为 0x55AA）
if mbr[510:512] == b'\x55\xAA':
    print("[*] 有效的 MBR 签名 (0x55AA)")
else:
    print("[!] 无效的 MBR 签名")

# 检查已知 bootkit 签名
bootkit_sigs = {
    b'\xE8\x00\x00\x5E\x81\xEE': "TDL4/Alureon bootkit",
    b'\xFA\x33\xC0\x8E\xD0\xBC\x00\x7C\x8B\xF4\x50\x07': "标准 Windows MBR（干净）",
    b'\xEB\x5A\x90\x4E\x54\x46\x53': "标准 NTFS VBR（干净）",
}

for sig, name in bootkit_sigs.items():
    if sig in mbr:
        print(f"[{'!' if '干净' not in name else '*'}] 签名匹配：{name}")

# 检查分区表条目
print("\n分区表：")
for i in range(4):
    offset = 446 + (i * 16)
    entry = mbr[offset:offset+16]
    if entry != b'\x00' * 16:
        boot_flag = "活动" if entry[0] == 0x80 else "非活动"
        part_type = entry[4]
        start_lba = int.from_bytes(entry[8:12], 'little')
        size_lba = int.from_bytes(entry[12:16], 'little')
        print(f"  分区 {i+1}: 类型=0x{part_type:02X} {boot_flag} 起始=LBA {start_lba} 大小={size_lba} 扇区")
PYEOF