La persistenza nella catena di avvio è un metodo che consente al malware di sopravvivere a un riavvio inserendosi nei componenti usati per avviare un dispositivo o modificandoli. Poiché il processo di avvio inizia prima del sistema operativo e del caricamento di molti strumenti di sicurezza degli endpoint, questa forma di persistenza può essere più difficile da rilevare e rimuovere rispetto ai normali software eseguiti all'interno del sistema operativo.
Negli attacchi reali, un bootkit può prendere di mira il firmware o i componenti di avvio affinché il codice dannoso venga eseguito nelle prime fasi dell'avvio e possa riprendere il controllo dopo ogni riavvio. I difensori non dovrebbero presumere che una scansione del sistema operativo senza rilevamenti o gli aggiornamenti software più recenti dimostrino che la catena di avvio sia affidabile. Verificare che Secure Boot sia abilitato e configurato correttamente, applicare gli aggiornamenti e le revoche pertinenti per il firmware e i componenti di avvio e indagare su eventuali modifiche impreviste al comportamento di avvio. La correzione potrebbe richiedere procedure di ripristino affidabili, anziché la semplice eliminazione di file dal sistema in esecuzione.