analyzing-bootkit-and-rootkit-samples

Files (4)

• LICENSE
• SKILL.md
• api-reference.md · references/
• agent.py · scripts/

SKILL.md (first lines)

# 分析 Bootkit 和 Rootkit 样本

## 适用场景

- 系统在操作系统重装后仍存在持续性被攻陷迹象
- 尽管有明确的被攻陷证据，但杀毒软件和 EDR 均无法检测到恶意软件
- UEFI Secure Boot 已被禁用或显示完整性违规
- 内存取证（Memory Forensics）揭示 rootkit 行为（隐藏进程、系统调用挂钩）
- 调查已知部署 bootkit 的国家级威胁（APT28、APT41、方程式组织）

**不适用于**标准用户态恶意软件；bootkit 和 rootkit 运行在完全不同的层级，需要专门的分析技术。

## 前置条件

- 磁盘镜像工具（dd、FTK Imager）用于获取 MBR/VBR 扇区
- UEFITool 用于 UEFI 固件卷分析和模块提取
- chipsec 用于硬件级固件安全评估
- Ghidra，支持 x86 实模式和 16 位模式用于 MBR 代码分析
- Volatility 3 用于内核级 rootkit 工件检测
- 可引导的 Linux Live USB 用于离线系统分析

## 工作流程

### 步骤 1：获取引导扇区和固件

提取 MBR、VBR 和 UEFI 固件用于离线分析：

```bash
# 获取 MBR（磁盘前 512 字节）
dd if=/dev/sda of=mbr.bin bs=512 count=1

# 获取第一磁道（通常包含 MBR 之外的 bootkit 代码）
dd if=/dev/sda of=first_track.bin bs=512 count=63

# 获取 VBR（卷引导记录 - 分区的第一个扇区）
dd if=/dev/sda1 of=vbr.bin bs=512 count=1

# 获取 UEFI 系统分区
mkdir /mnt/efi
mount /dev/sda1 /mnt/efi
cp -r /mnt/efi/EFI /analysis/efi_backup/

# 转储 UEFI 固件（需要 chipsec 或 flashrom）
# 使用 chipsec：
python chipsec_util.py spi dump firmware.rom

# 使用 flashrom：
flashrom -p internal -r firmware.rom

# 验证固件转储完整性
sha256sum firmware.rom
```

### 步骤 2：分析 MBR/VBR 中的 Bootkit 代码

检查引导扇区代码中的恶意修改：

```bash
# 反汇编 MBR 代码（16 位实模式）
ndisasm -b16 mbr.bin > mbr_disasm.txt

# 与已知正常的 Windows MBR 对比
# 标准 Windows MBR 以 EB 5A 90（JMP 0x5C, NOP）开头
# 标准 Windows 10 MBR：33 C0 8E D0 BC 00 7C（XOR AX,AX; MOV SS,AX; MOV SP,7C00h）

python3 << 'PYEOF'
with open("mbr.bin", "rb") as f:
    mbr = f.read()

# 检查 MBR 签名（510-511 字节应为 0x55AA）
if mbr[510:512] == b'\x55\xAA':
    print("[*] 有效的 MBR 签名 (0x55AA)")
else:
    print("[!] 无效的 MBR 签名")

# 检查已知 bootkit 签名
bootkit_sigs = {
    b'\xE8\x00\x00\x5E\x81\xEE': "TDL4/Alureon bootkit",
    b'\xFA\x33\xC0\x8E\xD0\xBC\x00\x7C\x8B\xF4\x50\x07': "标准 Windows MBR（干净）",
    b'\xEB\x5A\x90\x4E\x54\x46\x53': "标准 NTFS VBR（干净）",
}

for sig, name in bootkit_sigs.items():
    if sig in mbr:
        print(f"[{'!' if '干净' not in name else '*'}] 签名匹配：{name}")

# 检查分区表条目
print("\n分区表：")
for i in range(4):
    offset = 446 + (i * 16)
    entry = mbr[offset:offset+16]
    if entry != b'\x00' * 16:
        boot_flag = "活动" if entry[0] == 0x80 else "非活动"
        part_type = entry[4]
        start_lba = int.from_bytes(entry[8:12], 'little')
        size_lba = int.from_bytes(entry[12:16], 'little')
        print(f"  分区 {i+1}: 类型=0x{part_type:02X} {boot_flag} 起始=LBA {start_lba} 大小={size_lba} 扇区")
PYEOF
```

### 步骤 3：分析 UEFI 固件中的植入物

检查 UEFI 固件卷中的未授权模块：

```bash
# 使用 UEFITool 提取 UEFI 固件组件
# GUI：打开 firmware.rom -> 检查固件卷
# CLI：
UEFIExtract firmware.rom all

# 列出所有 DXE 驱动（UEFI 植入物最常见的目标）
find firmware.rom.dump -name "*.efi" -exec file {} \;

# 与已知正常的固件模块列表对比
# 每个 UEFI 模块都有一个 GUID - 与厂商基线对比

# 验证 Secure Boot 配置
python chipsec_main.py -m common.secureboot.variables

From killvxk/cybersecurity-skills-zh, Apache-2.0.

More from killvxk/cybersecurity-skills-zh