Firmware: cos’è, come funziona e perché è un bersaglio critico

Il firmware è il codice che controlla l’hardware prima del sistema operativo. Quando è vulnerabile, nessun antivirus lo vede — ed è il punto cieco delle analisi di rischio aziendali.

Quando un’azienda valuta la propria sicurezza informatica, l’attenzione si concentra quasi sempre su sistema operativo, applicazioni e traffico di rete. C’è però uno strato che sfugge a quasi tutte le analisi di rischio, e che si colloca più in basso di firewall e antivirus: il firmware, il codice che tiene in vita l’hardware.
È diventato uno degli obiettivi più ambiti dai gruppi criminali proprio perché, se colpito, consente una compromissione profonda e quasi impossibile da rilevare — e perché nella maggior parte delle aziende nessuno lo sta guardando.

In questa guida vediamo cos’è il firmware e come funziona, perché è un bersaglio critico per un’organizzazione, quali rischi concreti comporta e come includerlo — finalmente — nella postura di sicurezza aziendale.

1. Cos’è il firmware
2. Come funziona il firmware
3. Perché è un bersaglio critico per le aziende
4. I rischi di un firmware vulnerabile
5. Come gestire il firmware nella sicurezza aziendale

Cos’è il firmware

Il firmware è il software permanente programmato direttamente nei chip di memoria dei dispositivi hardware. A differenza di un’applicazione o del sistema operativo, risiede in memorie non volatili integrate nel componente fisico: Flash ROM, EEPROM o chip dedicati sulla scheda madre. La sua funzione è fare da intermediario tra l’hardware e il software che vi gira sopra. Ogni componente — dalla scheda madre al disco SSD, dalla scheda di rete al router — ha il proprio firmware.

L’esempio più noto è il BIOS della scheda madre, nella sua versione moderna chiamato UEFI (Unified Extensible Firmware Interface), che gestisce il processo di avvio del computer. La differenza cruciale rispetto a un sistema operativo è la sua natura permanente: se Windows o Linux si reinstallano con relativa facilità, il firmware è legato al componente fisico e cambia solo quando il produttore rilascia un aggiornamento specifico. Una procedura non immediata, che moltissime organizzazioni non eseguono mai — ed è qui che comincia il problema di sicurezza.

Come funziona il firmware

Per capire perché il firmware è così critico bisogna vedere cosa succede nell’istante dell’accensione. Il primo elemento ad avviarsi è il firmware UEFI, che esegue il POST (Power-On Self-Test), una serie di verifiche sull’hardware. Superate le verifiche, cerca il dispositivo da cui avviare il sistema operativo e passa il controllo al bootloader, il programma che carica il sistema operativo in memoria. Solo al termine di questa sequenza il sistema operativo — e con lui gli strumenti di sicurezza — entra in funzione.

Il punto è tutto qui: il firmware opera con i privilegi più alti disponibili sull’hardware, quando nessun antivirus o EDR è ancora attivo. È la sua natura, ma anche la sua vulnerabilità fondamentale. A proteggere questa fase esiste il Secure Boot, funzionalità UEFI che verifica la firma crittografica del bootloader prima di eseguirlo, impedendo l’avvio di codice non autorizzato. È una misura efficace, ma non infallibile se il firmware stesso è già compromesso.

Perché è un bersaglio critico per le aziende

Dal punto di vista di un attaccante, il firmware è interessante per tre ragioni che lo rendono un incubo per un responsabile della sicurezza. La prima è la posizione nello stack: opera sotto il sistema operativo, in un livello che antivirus, EDR e strumenti tradizionali non raggiungono. Un malware installato nel firmware non è visibile da Windows, non compare nella scansione dei processi e non lascia tracce nel file system.

La seconda è la persistenza: un firmware compromesso sopravvive a formattazione del disco, reinstallazione del sistema operativo e persino sostituzione del disco. Finché il chip della scheda madre non viene riprogrammato, l’infezione resta. La terza è la difficoltà di rilevamento e correzione: verificare lo stato di integrità del firmware richiede strumenti e procedure specifici che la maggior parte delle organizzazioni non possiede. I ricercatori di Binarly hanno documentato come vulnerabilità critiche nel codice UEFI di InsydeH2O — un framework usato da oltre 25 produttori tra cui HP, Lenovo, Dell e Intel — siano rimaste non rilevate per anni prima della scoperta. Sono esattamente il tipo di falle che un vulnerability assessment strutturato porta alla luce, mentre gli strumenti di sicurezza reattivi le ignorano.

I rischi di un firmware vulnerabile

Quando il firmware viene compromesso, le conseguenze superano di gran lunga quelle di una normale infezione. Il rischio più documentato è quello dei rootkit e bootkit UEFI. Il caso più celebre è LoJax, rootkit UEFI scoperto nel 2018 e attribuito al gruppo APT28, riconducibile all’intelligence militare russa: si installa nel firmware della scheda madre ed è già attivo a ogni avvio, prima che Windows carichi i driver, restando invisibile a qualsiasi strumento a livello di sistema operativo.

Un secondo rischio riguarda la manipolazione del Secure Boot: un attaccante che compromette il firmware può disabilitarlo o aggirarlo, come nel caso di BlackLotus, bootkit UEFI documentato nel 2023 capace di superare Secure Boot su sistemi Windows pienamente aggiornati. Ma il rischio più insidioso per un’azienda è quello degli attacchi alla supply chain: un firmware manomesso può essere introdotto in un dispositivo durante la produzione o la distribuzione, prima che arrivi all’utente finale. Chi acquista un server, un router o un laptop non ha strumenti immediati per verificare che il firmware sia identico all’originale del produttore — un tema che si intreccia con la crescente pressione normativa sulla sicurezza della catena di fornitura.

Come gestire il firmware nella sicurezza aziendale

La protezione del firmware richiede un approccio diverso da quello del software tradizionale, perché opera a un livello che i suoi strumenti non raggiungono. In ambito aziendale, le misure che contano davvero sono cinque:

• Firmware nel ciclo di patch management: gli aggiornamenti UEFI vanno inclusi nei processi di patching con la stessa priorità di quelli del sistema operativo, non trattati come un’eccezione occasionale;
• Secure Boot verificato, non solo presente: va accertato che sia effettivamente abilitato su tutti i dispositivi e che le chiavi di firma siano aggiornate — la presenza sulla carta non basta;
• TPM per l’integrità del boot: il Trusted Platform Module misura lo stato del firmware a ogni avvio e rileva le modifiche, permettendo di intercettare una manomissione;
• Strumenti firmware-aware: gli EDR tradizionali non vedono lo strato firmware; servono soluzioni specializzate che confrontino la versione installata con quella originale del produttore;
• Policy e runbook dedicati: in ambiente enterprise gli aggiornamenti vanno pianificati, testati su un sottoinsieme di macchine e documentati, con procedure di rollback per evitare di rendere inutilizzabile un dispositivo.

Nessuna di queste misure, da sola, chiude il problema: è la loro combinazione, dentro una valutazione del rischio che includa esplicitamente il firmware, a fare la differenza. Ed è proprio l’inclusione del firmware nel perimetro d’analisi ciò che distingue una postura di sicurezza matura da una che si ferma allo strato applicativo.

In conclusione

Il firmware è lo strato più silenzioso dell’infrastruttura digitale: non appare nelle dashboard degli antivirus, non compare nei log di sistema, non viene toccato dai cicli di patch automatici. Eppure è il primo codice a eseguirsi, il più privilegiato e il più difficile da rimuovere una volta compromesso. Per un’azienda, la lezione è netta: una sicurezza che si ferma al sistema operativo è una sicurezza incompleta — non perché gli attacchi al firmware siano frequenti come il phishing, ma perché quando avvengono, gli strumenti tradizionali non li vedono. E ciò che non si vede non si può difendere.