Что такое подклад и почему его «уничтожение» может потребовать отката BIOS?
Подклад в контексте информационной безопасности — это вредоносное вмешательство в прошивку BIOS/UEFI (или другой низкоуровневый слой системы) с целью закрепиться в компьютере и обходить все средства защиты․ При попытке «уничтожить» подклад обычными антивирусными утилитами часто возникает необходимость выполнить откат BIOS, чтобы восстановить его «чистую» версию․
Однако откат BIOS сам по себе не гарантирует удаление rootkit, пришедшего из-под подклада․ Rootkit мог:
- Зарезервировать себе место в схеме загрузки до того, как была восстановлена «чистая» прошивка․
- Использовать резервные копии вредоносного кода в других чипах (например, в Intel ME/AMD PSP или в EEPROM-чипах периферии)․
- Автоматически «повредить» свежую прошивку при первой же загрузке, если не устранены скрытые точки входа․
Когда откат BIOS действительно помогает
- Подклад был обнаружен на раннем этапе (до преобразования в полноценный rootkit) и не успел прописаться в других компонентах․
- У вас есть официальный образ «чистой» прошивки от производителя, подписанный цифровой подписью․
- Вы выполняете откат на устройстве, которое полностью изолировано от сети и не имеет дополнительных векторов заражения (USB-накопители, PXE-загрузка)․
Условия успешного отката
- Выключен Intel ME/AMD PSP или их прошивка обновлена до последней безопасной версии․
- Установлены все последние микропатчи процессора и чипсета․
- Отключены функции «Secure Rollback» или «Rollback Protection» в настройках UEFI, если они мешают установить более старую версию․
Пошаговая инструкция: как безопасно откатить BIOS и проверить систему на rootkit
Шаг 1: Подготовка
- Создайте бэкап всех важных данных на внешний носитель, отключённый от Интернета․
- Скачайте официальный образ BIOS/UEFI с сайта производителя вашей материнской платы/ноутбука․
- Проверьте цифровую подпись образа (если доступно) и сравните SHA256-сумму․
Шаг 2: Обновление/откат BIOS
- Запустите процесс обновления BIOS через фирменную утилиту (например, AFUWIN, EZ Flash, Q-Flash)․
- Если откат блокируется «Rollback Protection», переведите в режим Recovery Mode (часто требуется перемычка или спец-команда)․
Шаг 3: Очистка CMOS и сброс настроек
- После установки новой прошивки выключите питание и снимите батарейку CMOS на 5 минут․
- Включите ПК, войдите в BIOS и выполните «Load Optimized Defaults»․
Шаг 4: Первичная проверка на rootkit
- Загрузитесь с LiveCD/USB с антивирусом (например, Dr․Web LiveDisk, Kaspersky Rescue Disk)․
- Просканируйте загрузочный сектор, EFI-раздел и скрытые области жёсткого диска․
Шаг 5: Дополнительные меры
- Обновите все драйверы и прошивки контроллеров дисков, сетевых карт и видеоадаптера․
- Проверьте журналы Intel ME/AMD PSP на наличие подозрительных событий․
- Если rootkit обнаружен повторно, рассмотрите полную перепрошивку SPI-чипа через программатор․
Контакты и ресурсы для обращений
Техническая поддержка производителей BIOS/UEFI
- ASUS
- Сайт: https://www․asus․com/support
- Телефон: +7 (495) -21-36-77
- Email: support@asus․com
- Gigabyte
- Сайт: https://www․gigabyte․com/support
- Телефон: +7 (495) -63-87-74
- Email: rus․support@gigabyte․com
- MSI
- Сайт: https://ru․msi․com/support
- Телефон: +7 (495) -75-14-17
- Email: ru_service@msi․com
Антивирусные компании
- Dr․Web
Форум поддержки: https://forum․drweb․com
Телефон: 8 (800) -55-30-00
Email: support@drweb․com - Kaspersky
Техподдержка: https://support․kaspersky․ru
Бесплатная линия: 8 (800) -00-55-75 - ESET NOD32
Сайт: https://support․eset․ru
Телефон: +7 (495) -81-69-19
Специализированные лаборатории по исследованию rootkit и прошивок
- Лаборатория Kaspersky ICS CERT: https://ics-cert․kaspersky․com
- Positive Technologies RootKit Test Lab: rootkit@ptsecurity․com
- Open-source сообщество Coreboot: https://doc․coreboot․org
Откат BIOS — важный, но не единственный шаг в борьбе с rootkit, который проник через подклад в прошивку․ Без комплексного подхода (проверка всей цепочки загрузки, обновление всех компонентов, физическая перепрошивка при необходимости) заражение может вернуться․ При возникновении сомнений обращайтесь к перечисленным контактам специалистов и производителей, чтобы минимизировать риски и восстановить конфиденциальность и целостность вашей системы․