O Que São Bootkits e Rootkits de UEFI e Como Detectar Malwares que Sobrevivem à Formatação

Edson Feitosa de Oliveira Júnior

Fundador & Desenvolvedor Full Stack

A maioria dos vírus some quando você formata o computador. Mas existe uma categoria rara e perigosa que sobrevive até à formatação: os bootkits e rootkits de UEFI. Eles se instalam abaixo do Windows, na inicialização ou no firmware da placa-mãe. Este guia explica, sem alarmismo, o que são, quem costuma ser alvo e como se proteger.

Rootkit, bootkit e rootkit de UEFI

• Rootkit: malware que se esconde no sistema, geralmente como driver, para ocultar arquivos, processos e conexões do antivírus.
• Bootkit: infecta o processo de inicialização (gerenciador de boot ou setor de boot) e carrega antes do Windows, quando nenhuma proteção está ativa.
• Rootkit de UEFI (firmware): grava código malicioso no chip de firmware da placa-mãe. Como esse chip não fica no disco, formatar ou trocar o SSD não remove a infecção.

Isso é comum?

Não. Rootkits de firmware conhecidos publicamente, como LoJax, MosaicRegressor e CosmicStrand, foram usados principalmente em ataques direcionados e sofisticados. Bootkits como o BlackLotus mostraram, porém, que essas técnicas podem chegar a criminosos comuns. Para a maioria dos usuários, o risco é baixo, mas as medidas de proteção são simples e valem a pena.

Sinais que podem indicar infecção

Esses malwares são feitos para não dar sinais. Alguns indícios possíveis:

• Secure Boot desativado sem que ninguém tenha mexido.
• Antivírus ou proteções do Windows desligados sozinhos e que não religam.
• Infecções que voltam mesmo após formatação completa.
• Alertas do Microsoft Defender sobre componentes de inicialização.

Para sintomas mais comuns de vírus, veja sinais de que o computador está infectado.

Como se proteger

1. Mantenha o Secure Boot ativado

O Secure Boot só permite carregar componentes de inicialização com assinatura confiável, bloqueando a maioria dos bootkits. Verifique em Win + R > msinfo32, no item "Estado da Inicialização Segura".

2. Atualize o firmware (BIOS/UEFI)

Fabricantes corrigem falhas de firmware que esses ataques exploram. Use apenas atualizações do site oficial do fabricante da placa-mãe ou do notebook.

3. Atualize o Windows

A Microsoft distribui correções e listas de bloqueio de componentes de inicialização vulneráveis pelo Windows Update. Veja por que manter o Windows atualizado.

4. Ative as proteções baseadas em virtualização

Em Segurança do Windows > Segurança do dispositivo > Isolamento de núcleo, ative a Integridade de memória. Ela dificulta que drivers maliciosos rodem no kernel. Se algum driver antigo impedir a ativação, atualize-o.

5. Proteja o acesso à BIOS

Em computadores da empresa, defina senha de administrador na BIOS para impedir alterações por terceiros com acesso físico.

6. TPM e BitLocker

Com BitLocker e TPM, alterações na cadeia de inicialização fazem o sistema pedir a chave de recuperação, o que serve como alerta de adulteração.

Como verificar

• Microsoft Defender Offline: em Segurança do Windows > Proteção contra vírus e ameaças > Opções de verificação, escolha "Verificação do Microsoft Defender Offline". O PC reinicia e verifica antes de o Windows carregar.
• Antivírus com verificação de UEFI: alguns produtos comerciais incluem scanner de firmware.
• Ferramentas de fabricante: alguns fabricantes de notebooks corporativos oferecem verificação de integridade do BIOS.

Se houver suspeita real

1. Desconecte o computador da rede.
2. Troque senhas a partir de outro dispositivo limpo.
3. Regrave o firmware com a versão oficial mais recente do fabricante.
4. Reinstale o Windows do zero a partir de mídia oficial, com Secure Boot ativado.
5. Em empresas, envolva um profissional de segurança. Em casos persistentes, a troca da placa-mãe pode ser a solução mais segura.

Veja também o checklist de segurança digital.

Perguntas frequentes