Virus de boot

Les « Virus de Boot » s'implantent dans une zone spécifique de la partition de démarrage d'un ordinateur : les deux premiers secteurs adressables (cylindre 0, tête 0, secteur 0 et 1) des disques durs « amorçables » (sur lesquels l'ordinateur peur démarrer - « bootables »), des disquettes « amorçables » (même si ces disquettes ne contiennent aucun programme exécutable mais uniquement des données) et tout autre support « amorçable » (CD, DVD, Clé USB, etc.).

Cette zone est appelée MBR - Master Boot Record (ou « Zone d'amorce », « Zone d'amorçage »). D'une taille de 512 octets, cette zone comporte la table d'allocation des partitions primaires (les pointeurs vers les 4 premières partitions - partitions de type « primaire ») et un petit programme, appelé le « BootStrap » (le « Lanceur », le « Coup de pied au fondement » ou, plus prosaïquement, le « Coup de pied au cul »), lancé par le BIOS après le POST (Power On Self Test - les tests matériel que fait le BIOS à la mise sous tension de l'ordinateur ou lors de son redémarrage), dont la travail est de lancer un second programme, le « BootLoader » (« Chargeur d'amorçage ») qui se trouve sur la partition active. Ce second programme prend alors en charge le chargement et le lancement d'un troisième programme, le Système d'Exploitation (Windows, Linux, etc.).

Tout ceci se passe :

• Bien avant qu'un quelconque antivirus ou antispyware ou pare-feu applicatif ne soit appelé.

• Bien avant que Windows ou Linux ne se charge.
  

Les virus de boot se servent de cette forme d'infection aussi bien pour leur réplication que pour leur propagation.

• Form, Disk Killer, Michelangelo et Stoned sont des exemples de virus infectant le secteur d'amorçage (BootLoader (chargeur d'amorçage)) qui se trouve sur la partition active.
  

• NYB, AntiExe et Unashamed sont des exemples de virus infectant le secteur d'amorçage principal (MBR - Master Boot Record) lorsqu'il y a plusieurs partitions sur un volume.
  

• One_Half, Emperor, Anthrax ou Tequilla, sont des virus infectant les exécutables et les secteurs de boot. On les appelle parfois « virus multimode » - si le secteur de boot est nettoyé mais pas les fichiers exécutables, le secteur de boot sera ré-infecté. Si les fichiers sont désinfectés mais pas le secteur de boot, les fichiers seront à nouveau contaminés).
  

Si le « BootStrap » est modifié par un virus, il assurera le chargement et le lancement d'un virus avant quoi que ce soit. De là, le virus, sûr d'être toujours lancé, infestera d'autres fichiers (réplication) et, surtout, d'autres supports de manière à assurer son transport vers d'autres machine (propagation).

C'est LE type de virus pour infester des disquettes, disques amovibles amorçables (bootables) et autres supports à partir desquels un ordinateur peut démarrer (CD-Rom, DVD, Clé USB, etc. ...) ! C'est donc un peu archaïque mais extrêmement ennuyeux car la correction de ce genre d'attaques est très délicate et conduit souvent au reformatage pur et simple du disque infecté.

Les « Virus de Boot » infestent donc le « BootStrap » pour être exécutés à chaque démarrage d'un ordinateur avant tout autre programme. Ils s'installent en lieu et place du « BootStrap » qu'ils déplacent un peu plus loin sur le disque dur et en lancent l'exécution eux-mêmes, sous leur contrôle.

Note :
La taille du MBR étant très réduite, ce n'est pas le virus complet qui s'y trouve mais un lanceur du virus qui, lui, occupe une autre partie du disque (par exemple dans un fichier ADS, parfois, dans une partie normalement totalement inaccessible des disques durs : les GAP, ou dans une partition fantôme, etc.)