Bootsektor-Virus.

Ein Bootsektor-Virus ersetzt oder verändert den Code im Master Boot Record (MBR), Volume Boot Record (VBR) oder in der Partitionstabelle. Da dieser Code beim Start ausgeführt wird, übernimmt das Virus die Kontrolle vor dem OS, kann I/O abfangen, sich verbergen und weitere Payloads laden. Historisch verbreitete sich solche Schadsoftware über infizierte Disketten und später USB-Sticks. Moderne Äquivalente heißen Bootkits und greifen MBR/VBR oder UEFI-Boot-Stufen an. Schutzmaßnahmen sind Secure Boot, UEFI mit Measured Boot, Schreibschutz für Bootmedien, Deaktivierung von Autorun für Wechselmedien, Full-Disk-Encryption mit Boot-Integritätsprüfung und Integritätskontrolle der Boot-Komponenten.

Die Ahnenreihe beginnt mit Brain (1986), geschrieben von den Brüdern Basit und Amjad Farooq Alvi in Lahore – dem ersten PC-Virus und zugleich dem ersten Stealth-Virus, das den infizierten Bootsektor verbarg, indem es Lesezugriffe auf eine saubere Kopie umleitete. Es folgten Stoned (1987) und dessen Nachfahren, darunter das berüchtigte Michelangelo; Michelangelo blieb bis zum 6. März jedes Jahres inaktiv, überschrieb dann die ersten Sektoren des Datenträgers und löste 1992 eine weltweite Medienpanik aus. Die Technik verschwand nie ganz: NotPetya (Juni 2017) überschrieb den MBR und verschlüsselte die Master File Table, um Rechner unter dem Deckmantel von Ransomware unbrauchbar zu machen, und verursachte einen geschätzten Schaden von 10 Milliarden US-Dollar. Da moderne Firmware-Angriffe das OS vollständig umgehen, verlagerten sich die Gegenmaßnahmen in die Hardware – UEFI Secure Boot prüft die Signaturen jeder Boot-Komponente, und der TPM-gestützte Measured Boot protokolliert Hashwerte, sodass eine manipulierte Boot-Kette per Remote-Attestierung erkannt werden kann. Dennoch zeigten LoJax (2018) und der Bootkit BlackLotus (2022), dass Angreifer die UEFI/ESP-Ebene oberhalb des Datenträgers erreichen.

flowchart TD
  A[Infizierte Diskette / USB / Dropper] --> B[MBR-/VBR-Code überschreiben]
  B --> C[Einschalten: Firmware lädt den Bootsektor]
  C --> D[Virencode läuft ZUERST, vor dem OS]
  D --> E[Datenträger-I/O umleiten / Originalsektor verbergen]
  D --> F[OS laden, damit das System normal wirkt]
  E --> G[Auf andere Bootmedien verbreiten]
  H[Secure Boot + measured boot / TPM] -. blockiert / erkennt .-> D