# AN0476 — Analytic 0476 ## Descrição Detecta atualizações de firmware EFI executadas por processos do sistema ou binários fora de janelas de patch esperadas, ou utilizando pacotes de firmware não assinados. A telemetria inclui logs de eventos de modificação de firmware, alertas do subsistema de integridade EFI e auditorias de execução de ferramentas de atualização de sistema. Implantes em firmware EFI são persistentes, sobrevivem a reinstalações do SO e são difíceis de detectar — tornando essa analítica essencial para ambientes de alta segurança. **Plataformas:** macOS ## Técnicas Relacionadas - [[t1542-pre-os-boot|T1542 — Pre-OS Boot]] - [[t1601-modify-system-image|T1601 — Modify System Image]] - [[t1553-subvert-trust-controls|T1553 — Subvert Trust Controls]] - [[t1078-valid-accounts|T1078 — Valid Accounts]] --- *Fonte: [MITRE ATT&CK — AN0476](https://attack.mitre.org/detectionstrategies/DET0167#AN0476)*