Virus de secteur d'amorçage.

Un virus de secteur d'amorçage remplace ou modifie le code du master boot record (MBR), du volume boot record (VBR) ou de la table de partitions d'un support. Comme ce code s'exécute au démarrage, le virus prend la main avant l'OS, peut intercepter les I/O, se cacher et charger d'autres payloads. Historiquement, ces virus se propageaient via disquettes infectées puis via clés USB. Les équivalents modernes sont appelés bootkits et ciblent MBR/VBR ou les étapes de boot UEFI. Les défenses comprennent Secure Boot, UEFI avec measured boot, protection en écriture des supports de boot, désactivation de l'autorun sur supports amovibles, chiffrement complet du disque avec contrôle d'intégrité du boot, et vérification des composants d'amorçage.

La lignée débute avec Brain (1986), écrit par les frères Basit et Amjad Farooq Alvi à Lahore — premier virus PC et premier virus furtif, il masquait le secteur d'amorçage infecté en redirigeant les lectures vers une copie saine. Ont suivi Stoned (1987) et ses descendants, dont le tristement célèbre Michelangelo ; ce dernier restait en sommeil jusqu'au 6 mars de chaque année, puis écrasait les premiers secteurs du disque, provoquant une panique médiatique mondiale en 1992. La technique n'a jamais totalement disparu : NotPetya (juin 2017) a écrasé le MBR et chiffré la Master File Table pour rendre les machines inutilisables sous couvert de rançongiciel, causant des dommages estimés à 10 milliards de dollars. Comme les attaques modernes sur le firmware contournent entièrement l'OS, les protections se sont déplacées vers le matériel — UEFI Secure Boot vérifie les signatures de chaque composant de démarrage, et le measured boot appuyé sur un TPM enregistre des empreintes afin qu'une chaîne de démarrage altérée soit détectable par attestation à distance. Malgré cela, LoJax en 2018 et le bootkit BlackLotus en 2022 ont montré que les attaquants atteignaient la couche UEFI/ESP au-dessus du disque.

flowchart TD
  A[Disquette / USB / dropper infecté] --> B[Écraser le code MBR / VBR]
  B --> C[Mise sous tension : le firmware charge le secteur d'amorçage]
  C --> D[Le code du virus s'exécute EN PREMIER, avant l'OS]
  D --> E[Détourner les I/O disque / masquer le secteur d'origine]
  D --> F[Charger l'OS pour que le système paraisse normal]
  E --> G[Se propager à d'autres supports de boot]
  H[Secure Boot + measured boot / TPM] -. bloque / détecte .-> D