Un bootkit es un malware que infecta el proceso de arranque del ordenador –el sector de arranque o los componentes de arranque UEFI– para ejecutarse antes que el sistema operativo y controlarlo desde abajo.
Cómo funcionan los bootkits
Al encender un ordenador, el firmware carga un gestor de arranque, que a su vez carga el kernel del sistema operativo. Un bootkit se introduce en esta cadena. Los más antiguos sobrescribían el Master Boot Record (MBR) o el Volume Boot Record del disco; los modernos atacan UEFI, ya sea en los archivos de arranque de la partición del sistema EFI o, con menos frecuencia, en el propio firmware. Como se ejecuta primero, el bootkit puede parchear el kernel en memoria, desactivar funciones de seguridad y cargar un rootkit que oculte archivos, procesos y tráfico de red. MITRE ATT&CK recoge la técnica como Pre-OS Boot: Bootkit (T1542.003).
Por qué importan los bootkits
Los bootkits son muy sigilosos y persistentes: un antivirus que se ejecuta dentro de Windows no ve lo ocurrido antes de su arranque, y algunos sobreviven incluso a la reinstalación del sistema. Ejemplos:
- TDL4 (Alureon) (hacia 2010): bootkit de MBR muy extendido, usado para crear una botnet.
- Petya (2016): ransomware que sustituía el MBR y cifraba la tabla de archivos del disco.
- ESPecter (2021): bootkit que modificaba el Windows Boot Manager en la partición del sistema EFI.
- BlackLotus (2023): el primer bootkit UEFI conocido públicamente capaz de eludir Secure Boot en sistemas Windows 11 totalmente actualizados; se vendía en foros delictivos.
Cómo protegerse de los bootkits
- Activar UEFI Secure Boot y mantener al día el firmware, los gestores de arranque y la lista de revocación de Secure Boot (DBX).
- Usar un TPM con arranque medido para detectar cambios en los componentes de arranque.
- Proteger la configuración del firmware con contraseña y limitar los derechos de administrador.
- Ante una sospecha, reinstalar desde medios de confianza y, si el firmware está infectado, reflashearlo o sustituir el hardware.
