用途：当系统重装或更换磁盘后仍恢复 C2 通信、Secure Boot 被篡改或出现异常 MOK 注册、固件完整性校验失败、内存取证显示早期启动阶段加载 rootkit，或调查已知部署 UEFI 植入的 APT 活动时使用。不适用于传统 BIOS 上的 MBR/VBR 启动套件分析。
主要能力：使用 chipsec 转储 SPI 闪存与检查 UEFI 变量、SPI 访问权限及 BIOS 写保护；解析固件卷并比对厂商基线；扫描 ESP 中未授权或修改的 .efi 组件；用 YARA 检测已知 UEFI 恶意软件规则；验证 Secure Boot 变量、SMM 保护与 HVCI 状态；开展启动链签名校验与内存取证。
使用方式：需先在可信 Linux live USB 上离线运行，依赖 chipsec、UEFITool/UEFIExtract、Python 3.8+、Volatility 3、YARA 及厂商固件基线。典型命令如 python chipsec_util.py spi dump firmware_dump.rom、python chipsec_util.py uefi var-list、UEFIExtract firmware_dump.rom all、yara -r uefi_bootkits.yar firmware_dump.rom。流程覆盖转储 SPI 闪存、检查 UEFI 变量、分析 ESP、扫描固件签名、检测 Secure Boot 绕过、验证启动链完整性并输出报告。
适用场景：企业端点固件安全审计、疑似固件级植入（如 BlackLotus、LoJax、MoonBounce）调查、重装后持续失陷事件响应。
限制：不适用于无 UEFI 的旧式 BIOS 系统；Secure Boot 不能阻止所有绕过（如 CVE-2022-21894）；不应在受感染操作系统上运行分析；修复前须先保留原始固件转储。具体价格、平台支持范围与效果数据暂未提供。