为什么没有更多的计算机病毒只是用恶意软件刷入 Bios

Question

大多数病毒可以通过简单地擦拭硬盘驱动器并重新安装 Windows 来删除。那么为什么没有更多的病毒创建有效负载并将其闪存到 BIOS 芯片呢？这样就可以在每次启动时重新下载病毒，而用户无法删除它。那么为什么 bios 不更频繁地用作攻击媒介呢？

Answer 1

因为刷固件绝非易事。

在 UEFI 中，固件更新总是在闪存之前验证，即使是预启动，因此生成的 bios 必须符合 UEFI 规范和制造商硬件的格式，否则它将失败并且不会被写入。

许多现代系统都实现了双 BIOS，以在闪存出现故障时进行保护和恢复。

现代UEFI bios 为操作系统提供安全验证，因此操作系统可以在启动前要求已知的证书和签名。

Intel Boot Guard是一个 CPU 扩展，可以防止使用非法固件启动。

硬件组件有数以万计的组合，因此攻击者需要维护一个庞大的精心设计的恶意固件存储库。这种攻击仅限于民族国家行为者。

因此，这些攻击无法扩展，需要巨大的努力和复杂性，并且可以轻松恢复。

现在关于您对存储持久性的评论，请了解固件代码与其配置的存储位置或方式不同。固件闪存要么全有要么全无，因此恶意软件无法将自身添加到正在运行的配置中。用于配置的 CMOS 存储不会存储二进制可执行信息，并且操作系统无论如何都无法写入 CMOS，必须由固件本身完成。

请注意，实现固件恶意代码的实际价值是在 OS 堆栈的最底层实现 rootkit/bootkit 代码，并防止系统意识到它在那里，这是非常复杂的东西。或者简单的蛮力拒绝服务，这可以更容易地以其他方式执行。