Virus del sector de arranque.

Un virus del sector de arranque reemplaza o modifica el código del Master Boot Record (MBR), del Volume Boot Record (VBR) o de la tabla de particiones de un dispositivo. Como ese código se ejecuta al iniciar el equipo, el virus toma el control antes que el SO, puede interceptar E/S, ocultarse y cargar otros payloads. Históricamente se propagaron vía disquetes y luego unidades USB. Los equivalentes modernos se llaman bootkits y atacan MBR/VBR o etapas de arranque UEFI. Las defensas incluyen Secure Boot, UEFI con arranque medido, protección contra escritura en medios de arranque, deshabilitar autorun en medios extraíbles, cifrado completo de disco con verificación de integridad y comprobación de los componentes de arranque.

El linaje comienza con Brain (1986), escrito por los hermanos Basit y Amjad Farooq Alvi en Lahore: el primer virus para PC y el primer virus sigiloso, ocultaba el sector de arranque infectado redirigiendo las lecturas a una copia limpia. Le siguieron Stoned (1987) y sus descendientes, incluido el célebre Michelangelo, que permanecía latente hasta el 6 de marzo de cada año, momento en que sobrescribía los primeros sectores del disco y desató un pánico mediático mundial en 1992. La técnica nunca desapareció del todo: NotPetya (junio de 2017) sobrescribió el MBR y cifró la Master File Table para inutilizar máquinas bajo la apariencia de ransomware, causando daños estimados en 10 000 millones de dólares. Como los ataques modernos al firmware eluden por completo el SO, las mitigaciones se trasladaron al hardware: UEFI Secure Boot verifica las firmas de cada componente de arranque, y el arranque medido respaldado por TPM registra hashes para que una cadena de arranque manipulada pueda detectarse mediante atestación remota. Aun así, LoJax en 2018 y el bootkit BlackLotus en 2022 demostraron que los atacantes pueden alcanzar la capa UEFI/ESP por encima del disco.

flowchart TD
  A[Disquete / USB / dropper infectado] --> B[Sobrescribir código de MBR / VBR]
  B --> C[Encendido: el firmware carga el sector de arranque]
  C --> D[El código del virus se ejecuta PRIMERO, antes del OS]
  D --> E[Interceptar E/S de disco / ocultar sector original]
  D --> F[Cargar el OS para que el sistema parezca normal]
  E --> G[Propagarse a otros medios de arranque]
  H[Secure Boot + measured boot / TPM] -. bloquea / detecta .-> D