Primeiro, observe que o malware afeta o sistema operacional, não o próprio BIOS (porque não há nenhum valor no controle de um BIOS). Se alguém estiver tentando atacar o BIOS, seu objetivo real é atacar o SO que esse BIOS inicializará. Os rootkits e outras explorações de tempo de inicialização são projetados para atacar o sistema operacional, afetando como ele é inicializado.
Tradicionalmente, o código do BIOS e do firmware não é muito suscetível a malware e, com poucas exceções notáveis, a segurança do BIOS não é particularmente importante quando o malware é o vetor de ataque. As medidas de segurança do BIOS são principalmente para restringir acessos físicos que podem permitir que um invasor contorne as limitações impostas pelo software (por exemplo, inicializar um CD ao vivo para ignorar as permissões do sistema de arquivos).
O código da BIOS não é vulnerável a mal-códigos, mas é um ponto em que um invasor pode aproveitar as explorações de modo que as medidas de segurança do software não sejam eficazes. O principal local onde o BIOS PODE ajudar na segurança de software, é o processo do carregador de inicialização, e é disso que a maioria das pessoas está falando ao discutir Recursos de segurança mais avançados da UEFI . A UEFI permite que OEMs e usuários avançados configurem certificados criptográficos que funcionam com o carregador de boot, de modo que somente sistemas operacionais aprovados possam ser inicializados e para garantir que eles não tenham sido modificados incorretamente por malwares. Se um invasor puder alterar o código do carregador de inicialização do sistema operacional (talvez encapsulando o gerenciador de inicialização em seu próprio código malicioso), ele poderá ignorar uma grande parte dos sistemas operacionais subjacentes à segurança (como a capacidade de processar chaves criptográficas para validar drivers). Os rootkits e outras explorações do MBR são mais facilmente evitadas usando esses recursos . Você está correto O UEFI não é infalível; lembre-se acesso físico == acesso root. Período.
As configurações da BIOS podem ser modificadas pelo sistema operacional através da APCI (Interface avançada de configuração de energia) , mas porque há muito poucas configurações disponíveis que afetam a segurança do software, isso teria pouco impacto. O fato de o sistema UEFI poder acessar a Internet por conta própria não é necessariamente um problema, a menos que uma exploração contra o navegador incorporado seja descoberta. As explorações normais do Windows não funcionarão e terão que ser especialmente criadas para que esse caso de uso específico seja efetivo.
Espero que ajude.