ブートセクタウイルス.

ブートセクタウイルスは、記憶装置のマスターブートレコード(MBR)、ボリュームブートレコード(VBR)、パーティションテーブルのコードを置換または改変します。このコードは起動時に実行されるため、OS より前にウイルスが動作し、I/O の傍受、自身の隠蔽、追加ペイロードのロードなどが可能になります。歴史的にはフロッピーディスクや USB ドライブを介して拡散しました。現代の同等物はブートキットと呼ばれ、MBR/VBR や UEFI ブート段階を狙います。対策としては、セキュアブート、Measured Boot を伴う UEFI、起動メディアの書き込み保護、リムーバブルメディアでの自動再生無効化、起動整合性検証を含むフルディスク暗号化、ブートコンポーネントの完全性検証などがあります。

この系譜はラホールで Basit と Amjad Farooq Alvi 兄弟が作成した Brain(1986) に始まります。これは最初の PC ウイルスであり最初のステルスウイルスでもあり、読み取りをクリーンなコピーへリダイレクトすることで感染したブートセクタを隠していました。続いて Stoned(1987) とその派生種が登場し、その中には悪名高い Michelangelo も含まれます。Michelangelo は毎年 3 月 6 日まで潜伏し、その日にディスクの先頭セクタを上書きするもので、1992 年には世界的な報道パニックを引き起こしました。この手法は完全に消えることはありませんでした。NotPetya(2017 年 6 月) は MBR を上書きしてマスターファイルテーブル(Master File Table)を暗号化し、ランサムウェアを装ってマシンを使用不能にし、推定 100 億ドルの被害をもたらしました。現代のファームウェア攻撃は OS を完全に回避するため、緩和策はハードウェアへと移りました。UEFI Secure Boot は各ブートコンポーネントの署名を検証し、TPM に支えられた Measured Boot はハッシュを記録するため、改ざんされたブートチェーンをリモート認証(リモートアテステーション)で検出できます。それでもなお、2018 年の LoJax と 2022 年の BlackLotus ブートキットは、攻撃者がディスクより上位の UEFI/ESP 層に到達できることを示しました。

flowchart TD
  A[感染したフロッピー / USB / dropper] --> B[MBR / VBR コードを上書き]
  B --> C[電源投入:ファームウェアがブートセクタをロード]
  C --> D[ウイルスコードが OS より先に最初に実行]
  D --> E[ディスク I/O をフック / 元のセクタを隠蔽]
  D --> F[OS をロードしてシステムを正常に見せる]
  E --> G[他の起動メディアへ拡散]
  H[Secure Boot + measured boot / TPM] -. ブロック / 検出 .-> D