Définition simple
Un bootkit est un logiciel malveillant qui modifie ou détourne des éléments du démarrage pour exécuter du code avant le chargement normal du système.
Objectif et usage
Son objectif malveillant est d’obtenir une présence précoce et durable sur la machine. Il ne s’agit pas d’un outil de prévention ou de défense.
Comment ça fonctionne ?
Selon la plateforme, la compromission touche des secteurs de démarrage, le chargeur ou des composants de la chaîne de démarrage. Elle peut compliquer la détection et l’éradication depuis le système infecté.
Points clés
- Exemple : une modification inattendue de la partition système EFI doit être rapprochée des mises à jour légitimes et des autres indices.
- Vérifier l’intégrité du démarrage avec les outils adaptés et conserver les éléments nécessaires à l’investigation.
Points d’attention
Une réinstallation du seul système ne prouve pas toujours l’assainissement de toute la chaîne de démarrage. La remédiation dépend du composant réellement compromis.
En résumé
Le bootkit recherche une persistance dans le démarrage ; la réponse doit couvrir ce niveau de compromission.