Secure Boot

Source : Malware Analysis Space (blog de Seeker/@clibm079, Chine), publié le 2 janvier 2026. L’auteur propose des « notes complémentaires » à une analyse antérieure de LoJax, centrées sur le mécanisme de gestion/persistance abusé par ce bootkit UEFI, avec un fil conducteur du firmware jusqu’au mode utilisateur. Le billet rappelle que, sur une machine victime avec le Secure Boot désactivé ou mal configuré, LoJax exploite une condition de concurrence dans les protections d’écriture de la SPI flash. La persistance n’est pas basée sur les variables de boot UEFI, mais sur un driver DXE malveillant stocké en SPI flash. L’exécution est déclenchée via un callback d’événement ReadyToBoot (confirmation attribuée à ESET), et aucune modification de Boot####/BootOrder n’est rapportée (confiance indiquée comme faible). ...

Billet de blog technique signé par William Beasley (mis à jour le 2 décembre 2025), présentant deux outils de Raspberry Pi — rpi-image-gen et rpi-sb-provisioner — visant à passer du prototype à un système de production reproductible et sécurisé. • rpi-image-gen: l’outil assemble des images Linux Debian via mmdebstrap en combinant des profils descriptifs, des « image layouts » et des fichiers de configuration YAML. Il privilégie les binaires précompilés pour accélérer les builds (quelques minutes) et simplifier la maintenance, tout en permettant des paquets sur mesure (ex. noyau custom en amont). Une fois le système de fichiers finalisé, Syft génère une SBOM pour l’audit de sécurité et l’alimentation d’outils externes de scan CVE. Les couches définissent paquets/commandes et variables (avec validation regex) afin d’éviter les mauvaises configurations. ...

Selon Eclypsium (billet de blog), des outils de diagnostic UEFI signés par Microsoft et utilisés sur des appareils Framework peuvent être détournés comme des backdoors signées, permettant de contourner Secure Boot et d’installer une persistance pré-OS tout en donnant l’illusion que la sécurité est active. Les chercheurs expliquent que le cœur du problème réside dans la commande mm des shells UEFI signés, qui offre un accès direct en lecture/écriture à la mémoire système. En manipulant des composants du Security Architectural Protocol, un attaquant peut neutraliser la vérification de signature, puis charger des modules UEFI non signés. L’attaque peut être automatisée pour s’exécuter au démarrage, assurant un compromis persistant avant l’OS. ...

Selon ESET Research, HybridPetya a été découvert sur la plateforme de partage d’échantillons VirusTotal. L’équipe précise qu’il s’agit d’un imitateur de Petya/NotPetya, sans détection d’activité in-the-wild dans leur télémétrie au moment de la publication. HybridPetya se distingue de NotPetya/Petya en visant les systèmes modernes basés sur UEFI, où il installe une application EFI malveillante dans la partition système EFI (ESP). 💽 L’application UEFI déployée prend ensuite en charge le chiffrement de la Master File Table (MFT) NTFS, un fichier critique contenant les métadonnées de tous les fichiers d’une partition NTFS. ❗ ...

Selon Binarly Research, une étude sur l’écosystème UEFI met en évidence une faiblesse systémique de Secure Boot: des modules signés, notamment des shells UEFI, peuvent être exploités pour contourner la vérification de signature et exécuter du code non signé au niveau firmware. Découverte clé: plus de 30 shells UEFI signés et approuvés chez de grands OEM créent des vecteurs d’attaque. L’analyse de 4 000 images firmware montre que les plateformes modernes font confiance à environ 1 500 modules signés en moyenne (certaines dépassent 4 000), élargissant fortement la surface d’attaque. Des centaines d’appareils de sept OEM sont concernés. 🔐 ...