Trusted Design
Some adversaries may employ sophisticated means to compromise computer components and install malicious firmware that will execute adversary code outside of the operating system and main system firmware or BIOS. This technique may be similar to System Firmware but conducted upon other system components that may not have the same capability or level of integrity checking. Malicious device firmware could provide both a persistent level of access to systems despite potential typical failures to maintain access and hard disk re-images, as well as a way to evade host software-based defenses and integrity checks.
T1109は「Component Firmware（コンポーネントファームウェア）」として定義されている、ハードウェアレベルに潜伏する究極の「永続化（Persistence）」および「防御回避（Defense Evasion）」のテクニックです。
現在は、システムの下層に位置するファームウェアの改ざんを包括する大きな分類である T1498.001「Bootkit」 や、デバイス自体のファームウェアを乗っ取る T1542.001「Pre-OS Boot: Component Firmware」（またはハードウェア改ざんの文脈）などに整理・統合されています。
OS（WindowsやLinuxなど）が起動するよりも前のレイヤー、あるいはマザーボードや各種周辺機器（ネットワークカード、ハードディスク、グラフィックボードなど）のチップに直接書き込まれている「ファームウェア」を不正に書き換え、OSの再インストールやHDDの交換を行っても絶対に消去できない不死身のバックドアを構築する極めて高度な手法です。
この手法で攻撃者は、「セキュリティソフト（EDRなど）が絶対に監視できない死角から、PCやサーバーの完全な支配権を永久に維持すること」を実現します。
OSの壁を越えた絶対的な永続化:
通常のマルウェアはハードディスク（HDD/SSD）の中に保存されているため、OSを初期化したり、HDDを物理的に新品に交換したりすれば駆除できます。しかし、T1109はパーツのチップそのものを汚染するため、OSを何度入れ直そうが、電源を入れるたびにファームウェアからマルウェアが自動生成され、システムが再感染し続けます。
完全な不可視性（防御回避）:
WindowsやLinuxの上で動くあらゆるセキュリティソフトは、自分より下のレイヤー（ハードウェアの内部）で何が起きているかを覗き見ることができません。そのため、攻撃コードは検知の網に一切引っかかることなく、隠密に活動を継続できます。
この手法は、チップのメモリ（EEPROMやSPIフラッシュメモリ）にデータを直接書き込む必要があるため、事前にローカルのシステム最高権限（Kernel / Ring 0）を奪取しているか、サプライチェーンの段階で実行されます。
初期侵入とカーネル権限の奪取:
攻撃者は脆弱性を突き、ターゲットのOS内で最も深い「カーネルモード（Ring 0）」の権限を手に入れます。
ターゲットコンポーネントの特定:
システムに搭載されているマザーボード（BIOS/UEFI）や、ネットワークカード（NIC）、ハードディスクコントローラー（HDDファームウェア）の型番を調査し、書き換え可能なフラッシュメモリの脆弱性を探します。
ファームウェアの書き換え（トリガー）:
ベンダーが提供している正規のファームウェア更新ツール（フラッシュツール）を悪用するか、カーネルの脆弱性を使って保護をバイパスし、バックドアコードを埋め込んだ「改造ファームウェア」をチップに強制的に書き込み（フラッシュ）します。
OSのクリーンアップ（偽りの安全）:
攻撃者はOS上に残した一時的なマルウェアやログをすべて綺麗に削除して立ち去ります。
永続的な復活（目的達成）:
PCが起動（再起動）する際、電源を入れた瞬間にまず汚染されたファームウェアが動作します。このファームウェアが、OSが立ち上がる前にメモリ（RAM）の中にバックドア（Rootkit/Bootkit）をこっそり流し込み、OSの起動後に自動でハッカーのC2サーバーへ接続させます。
OS上の対策は無力であるため、ハードウェア・ファームウェアレベルでの「信頼の起点（Root of Trust）」の実装が不可欠です。
Secure Boot（セキュアブート）の有効化と厳格化（最重要）:
UEFI（旧BIOS）のセキュアブート機能を有効にします。これにより、デジタル署名が検証されていない不正に改造されたファームウェアやブートローダーの実行を、ハードウェアレベルで強制的に拒否（シャットダウン）します。
ファームウェアの書き込み保護（Hardware Write Protection）:
マザーボード上のジャンパピンの設定や、ベンダーが提供するセキュリティ機能を使い、OS（ソフトウェア側）からファームウェアの領域を絶対に上書きできないよう、物理的・論理的にロックをかけます。
TPM（Trusted Platform Module）を用いた整合性検証:
暗号プロセッサ（TPM）を利用し、起動時に各コンポーネントのファームウェアのハッシュ値を測定（Measured Boot）します。万が一、攻撃者によって1ビットでも書き換えられていた場合は「改ざん」を検知し、起動をストップさせるアーキテクチャを構築します。
ベンダー公式の正規アップデートの適用:
マザーボードや主要デバイス（Intel MEなど）のファームウェア自体に、脆弱性（書き込み制限をバイパスされるバグ）がないよう、定期的にBIOS/UEFIのアップデートを適用します。
「破棄（買い替え）」しかなくなる最凶の手口:
この攻撃が成功し、かつファームウェアを正規の状態に戻す（リフラッシュする）手段が断たれた場合、そのPCやサーバーは二度と安全に使用することができなくなります。組織としては、その高価なサーバーや端末を「物理的に廃棄して買い替える」しか解決策が残らないという、サンクコスト（埋没費用）的にも破壊的なダメージを与える手法です。
国家背景を持つAPTの専売特許:
開発難易度が極めて高く、デバイスのチップごとに個別の攻撃コード（エクスプロイト）を書く必要があるため、一般のサイバー犯罪者が使うことはほぼありません。莫大な予算と高度な技術を持つ、国家のサイバースパイ（APT集団）が「絶対に失いたくない最重要ターゲット」に対してのみ発動する伝家の宝刀です。
CWE-1274: Improper Access Control for Device Firmware/Configuration（デバイスファームウェア/構成に対する不適切なアクセス制御）
OS側の特権ユーザーやカーネルから、デバイスのファームウェアが格納されている物理メモリ領域に対して、適切なデジタル署名の検証なしに直接書き込み（書き換え）を許してしまう構造上の弱点。
CWE-347: Improper Verification of Cryptographic Signature（暗号署名の不適切な検証）
デバイスが起動する際、自身のファームウェアのコードが正当なメーカーによって署名されたものかどうかの整合性チェックを怠り、改ざんされたコードの実行を許してしまう問題。
歴史上、数例しか確認されていない「神話」レベルの高度なサイバー兵器たちです。
Equation Group（米国家安全保障局（NSA）関連とされる集団）の「Grayfish」:
サイバーセキュリティの歴史において最も高度な技術を持つとされるこの集団は、HDD（ハードディスク）のコントローラーチップ内のファームウェアを書き換えるマルウェア（T1542.001）を開発していました。SeagateやWestern Digitalといった主要メーカーのハードディスクに直接潜伏し、HDDのセクターの「隠し領域」にデータを保存するため、OSからは絶対にその領域を見ることも消すこともできず、究極の隠蔽と永続化を成立させていました。
LoJax（ロシア政府系ハッカー「APT28」によるUEFIルートキット）:
2018年、実際の標的型攻撃で初めて世界に観測された「本物のUEFIファームウェア標的型マルウェア」です。彼らは、一部のパソコンのマザーボード設定（BIOSライトプロテクト）の不備を突き、OS内からマウザボードのSPIフラッシュメモリを直接書き換えました。これにより、HDDを新品に交換しても、OSを完全にクリーンインストールしても、電源を入れるたびにハッカーのバックドアが自動で復活するという悪夢のような永続化（T1109）を現実のものにしました。
通常の運用保守において、T1109（ファームウェアの汚染）を疑わなければならないシチュエーションは極めて限定的です。「OSを完全に初期化し、ハードディスクも新品に換装してネットワークに戻した端末が、数日後にまた全く同じ不審なC2サーバーへ自動接続を開始した」という、オカルトのような再感染が起きた場合のみ、このファームウェアハックを疑います。
このような事態に直面した場合は、OS上のログ調査を諦め、ハードウェアベンダーと連携してファームウェアのハッシュ値を直接ベリファイ（検証）するか、該当の端末を即座に戦線離脱させて物理的に破棄することが、組織のネットワーク全体の安全を守るための唯一かつ最善のブレイクスルーとなります。
この攻撃手法に関連する CVE は登録されていません。