用途：分析感染 MBR、VBR 或 UEFI 固件、在操作系统加载前执行以实现底层持久化的 bootkit 与高级 rootkit。适用于重装系统后仍存在感染迹象、杀软与 EDR 无法检出、UEFI Secure Boot 被禁用或完整性异常、内存取证发现隐藏进程或系统调用挂钩，以及调查 APT28、APT41、Equation Group 等已知部署 bootkit 的威胁。不适用于普通用户态恶意软件。
主要能力：获取 MBR、VBR、UEFI 固件与 EFI 系统分区；反汇编 16 位实模式 MBR 代码并与已知干净基线比对；用 UEFITool 提取固件卷与 DXE 驱动、比对 GUID 基线；用 chipsec 检查 Secure Boot 变量与 SPI 闪存写保护；用 Volatility 3 检测 SSDT/IDT 挂钩、DKOM 隐藏进程、内核回调与未签名驱动；用 sigcheck 验证 bootmgfw.efi、winload.efi、ntoskrnl.exe 签名；检查 Measured Boot 与 BCD 配置篡改。
使用方式：从 Linux 可启动 U 盘离线操作，避免执行被感染系统组件。示例命令：dd if=/dev/sda of=mbr.bin bs=512 count=1；dd if=/dev/sda1 of=vbr.bin bs=512 count=1；python chipsec_util.py spi dump firmware.rom；flashrom -p internal -r firmware.rom；UEFIExtract firmware.rom all；python chipsec_main.py -m common.secureboot.variables；vol3 -f memory.dmp windows.ssdt；sigcheck -a C:\Windows\Boot\EFI\bootmgfw.efi；bcdedit /enum firmware。
限制与注意：需具备磁盘镜像、固件与内存取证工具及离线环境；分析运行中的被感染系统可能被 rootkit 隐藏；仅分析磁盘引导组件会遗漏固件级植入；Secure Boot 存在已知绕过（如 CVE-2022-21894）；重刷固件前须保留原始固件转储作为证据。具体工具版本、平台支持与授权信息暂未提供。