UEFI Rootkit Là Gì? Mã Độc Sống Sót Sau Format Ổ Cứng Và Cách Xử Lý

Trong suy nghĩ của phần lớn người dùng, cài lại hệ điều hành (Reinstall OS) hoặc format sạch toàn bộ ổ cứng là phương pháp triệt để nhất để loại bỏ 100% phần mềm độc hại. Tuy nhiên, trên thực tế tồn tại những dòng mã độc siêu nguy hiểm có khả năng “ẩn náu” ở cấp độ phần cứng và firmware — vị trí nằm ngoài tầm kiểm soát của hệ điều hành.

Bài viết này sẽ tổng hợp top các loại mã độc nguy hiểm nhất không thể xóa bằng cách cài lại Win/Linux, kèm theo quy trình xử lý và biện pháp phòng ngừa chuẩn an ninh mạng.

1. Top Các Loại Mã Độc “Bám Trụ” Sau Khi Cài Lại Hệ Điều Hành

1.1. UEFI / BIOS Rootkit (Bootkit Firmware)

• Vị trí ẩn nấp: Chip flash SPI chứa UEFI/BIOS nằm trực tiếp trên bo mạch chủ (Motherboard).
• Cơ chế hoạt động: Mã độc ghi đè hoặc can thiệp vào mã nguồn của UEFI/BIOS. Ngay từ giây đầu tiên bấm nút nguồn (trước khi hệ điều hành hoặc ổ cứng được nạp), mã độc đã khởi chạy. Nó âm thầm tiêm (inject) mã độc vào tiến trình của Windows/Linux ngay khi hệ điều hành vừa được cài mới xong.
• Mức độ nguy hiểm: Cực kỳ cao. Việc format toàn bộ SSD/HDD hay thay ổ cứng mới hoàn toàn không ảnh hưởng đến chip BIOS trên mainboard.
• Mã độc điển hình: LoJax, MoonBounce, CosmicStrand, BlackLotus.

1.2. Drive Firmware Malware (Mã Độc Trong Firmware Ổ Cứng/SSD)

• Vị trí ẩn nấp: Bộ vi điều khiển (Controller chip) và chip nhớ ẩn của ổ cứng SSD/HDD.
• Cơ chế hoạt động: Mã độc can thiệp vào bộ nhớ chạy ngầm của chính ổ cứng (độc lập với hệ điều hành). Dù bạn dùng lệnh Format, Partitioning hay Secure Erase từ installer của OS, vùng nhớ firmware của ổ cứng vẫn không bị ghi đè. Từ đó, nó có thể tự khôi phục dữ liệu độc hại lên phân vùng hệ thống mới.
• Mức độ nguy hiểm: Rất khó phát hiện bằng các phần mềm diệt virus thông thường vì phần mềm bảo mật chỉ quét dữ liệu logic trên phân vùng đĩa, không quét được chip vi điều khiển của SSD/HDD.

1.3. Option ROM & Device Firmware Malware (Mã Độc Card Mạng, GPU, PCIe)

• Vị trí ẩn nấp: Firmware của các thiết bị ngoại vi như Card mạng (NIC), Card màn hình (GPU), RAID Controller, hoặc thiết bị cắm qua chuẩn PCIe/USB.
• Cơ chế hoạt động: Lợi dụng lỗ hổng trong tính năng Option ROM của chuẩn giao tiếp PCIe, mã độc thực thi mã từ phần cứng ngoại vi ngay trong quá trình khởi động máy tính để chiếm quyền kiểm soát hệ thống.
• Mức độ nguy hiểm: Dù bạn thay mainboard và thay toàn bộ ổ cứng mới, nhưng nếu giữ lại chiếc Card màn hình hoặc Card Wi-Fi cũ đã bị nhiễm độc, máy tính vẫn sẽ bị tái nhiễm ngay lập tức.

1.4. Network Worm / LAN Re-infection (Mã Độc Tái Lây Nhiễm Qua Mạng Nội Bộ)

• Vị trí ẩn nấp: Thiết bị Router Wi-Fi, modem mạng, hoặc các máy tính khác trong cùng mạng LAN.
• Cơ chế hoạt động: Bản thân máy tính sau khi cài lại OS đã hoàn toàn sạch sẽ. Tuy nhiên, nếu Router hoặc một máy khác trong mạng nội bộ đang bị nhiễm sâu (ví dụ dính mã độc khai thác lỗ hổng SMB, UPnP), ngay khi máy bạn cắm dây mạng hoặc kết nối Wi-Fi, mã độc sẽ tự động quét và tấn công lây nhiễm ngược lại chỉ trong vài giây.

2. Quy Trình Xử Lý Triệt Để Khi Nghi Ngờ Nhiễm Mã Độc Cấp Firmware

Nếu gặp phải các dấu hiệu nghi ngờ hệ thống bị can thiệp cấp phần cứng, bạn cần tuân thủ quy trình xử lý từng bước sau:

1. Cách ly thiết bị khỏi mạng: Ngắt toàn bộ kết nối Wi-Fi và rút dây mạng LAN ngay lập tức để chặn mã độc kết nối về máy chủ C&C (Command & Control) hoặc lây lan qua các máy khác trong LAN.
2. Flash (nạp) lại BIOS/UEFI từ thiết bị sạch: Sử dụng một máy tính an toàn khác để tải bản firmware BIOS/UEFI chính thức từ trang chủ nhà sản xuất (ASUS, MSI, Gigabyte, Dell, HP…). Chép file vào USB format FAT32 và tiến hành flash lại BIOS bằng tính năng EZ Flash, Q-Flash hoặc nút BIOS Flashback trên mainboard.
3. Cập nhật / Reflash Firmware cho SSD/HDD: Sử dụng công cụ chính hãng (như Samsung Magician, WD Dashboard, Kingston SSD Manager) để kiểm tra và tiến hành ghi đè lại bản firmware gốc cho ổ cứng.
4. Khởi tạo lại ổ cứng bằng Low-Level / NVMe Format: Sử dụng công cụ nạp từ USB boot độc lập (như Linux Live USB) để chạy lệnh nvme format hoặc công cụ Secure Erase của nhà sản xuất để đưa toàn bộ ô nhớ SSD về trạng thái xuất xưởng.
5. Reset và làm sạch Router mạng: Đẩy nút Reset cứng trên Router Wi-Fi để xóa sạch cấu hình, cập nhật firmware mới nhất cho Router và thay đổi mật khẩu Admin/Wi-Fi trước khi cho máy tính kết nối lại.

3. Giải Pháp Phòng Tránh Mã Độc Cấp Độ Sâu (Best Practices)