Virus Boot Sector là gì?
Boot Sector Virus (Virus khu vực khởi động) là loại mã độc máy tính lây nhiễm vào Boot Sector (Khu vực khởi động) hoặc Master Boot Record (MBR - Bản ghi khởi động chính) của thiết bị lưu trữ (ổ cứng HDD, SSD, USB, đĩa mềm). Khác với virus file thông thường lây nhiễm tệp thực thi (.exe, .dll), virus boot sector tấn công vào cấu trúc khởi động của ổ đĩa - nơi BIOS/UEFI firmware đọc để nạp hệ điều hành.
Nơi lưu trú chính xác
| Vị trí |
Mô tả |
Đặc điểm |
| Master Boot Record (MBR) - Sector 0 của ổ đĩa vật lý |
Chứa Partition Table (bảng phân vùng) và Boot Code (mã nạp bootloader). Kích thước 512 byte (cũ) hoặc 4096 byte (Advanced Format). |
Mục tiêu ưa thích nhất. Virus ghi đè boot code gốc bằng mã độc. Khi máy bật, BIOS đọc MBR -> chạy mã độc TRƯỚC KHI HĐH nạp -> kiểm soát hoàn toàn hệ thống. |
| Volume Boot Record (VBR) / Partition Boot Sector - Sector 0 của phân vùng |
Chứa bootloader của phân vùng (ví dụ: NTLDR/BOOTMGR cho Windows, GRUB cho Linux). Mỗi phân vùng có 1 VBR. |
Virus lây nhiễm VBR của phân vùng active (boot). Ít phổ biến hơn MBR nhưng tương tự nguy hiểm. |
| Floppy Disk Boot Sector (Cũ) |
Sector 0 của đĩa mềm 3.5 inch. |
Vector lây lan chính thời DOS/Win9x. Hiện nay hiếm gặp nhưng nguyên lý y hệt. |
Cơ chế lây lan (Propagation Mechanism)
- Vectơ vật lý (Physical Media) - Cổ điển nhưng vẫn hiệu quả:
- USB, HDD ngoài, đĩa CD/DVD bị nhiễm được cắm vào máy sạch.
- Nếu máy жертв có cấu hình BIOS boot từ USB/Removable trước ổ cứng -> Virus trên MBR/VBR của USB chạy ngay khi bật máy -> Nhiễm MBR ổ cứng nội bộ.
- AutoRun.inf (Windows XP/7) tự thực thi file trên USB khi cắm -> kích hoạt dropper nạp virus boot sector.
- Lây lan qua mạng (Network Propagation) - Hiện đại:
- Kết hợp với worm/exploit (SMB, RDP) -> Đẩy dropper vào máy khác -> Dropper ghi đè MBR/VBR (cần quyền Admin/SYSTEM).
- Ví dụ: Petya/NotPetya (2017) - Ransomware ghi đè MBR + mã hóa MFT.
- Rootkit/Bootkit (Advanced Persistent):
- Virus boot sector hiện đại thường là thành phần của Bootkit (Rootkit cấp firmware/bootloader).
- Ví dụ: TDL4 (Alureon), Rovnix, Gapz, Mosaic. Chúng hook INT 13h (BIOS) hoặc patch UEFI firmware -> Kiểm soát từ trước khi OS load -> Rất khó phát hiện/gỡ bỏ.
Đặc điểm nhận biết (Symptoms)
- Máy khởi động chậm, treo ở màn hình đen, báo lỗi "Operating System not found", "Invalid partition table", "Boot device not found".
- Ổ cứng bị nhận sai dung lượng, phân vùng biến mất.
- Chương trình chống virus báo phát hiện virus ở MBR/Boot Sector (ví dụ: MBR:Alureon-J, Boot:Stoned, MBR:Petya).
- Hệ thống bất ổn, crash thường xuyên (BSOD) do rootkit can thiệp kernel.
- Không cài được Windows mới (virus chặn ghi MBR).
Phòng chống và Gỡ bỏ
1. Phòng ngừa (Prevention) - Quan trọng nhất
- Cấu hình BIOS/UEFI: Tắt boot từ USB/Removable/CD-ROM nếu không cần. Set ổ cứng nội bộ là 1st Boot Priority. Bật Secure Boot (UEFI) - Chặn bootloader không ký số (chống bootkit cực hiệu quả).
- Tắt AutoRun/AutoPlay: Windows 10/11 mặc định tắt. Kiểm tra:
gpedit.msc -> Computer Config -> Admin Templates -> Windows Components -> AutoPlay Policies -> Turn off Autoplay -> Enabled -> All drives.
- Bảo vệ ghi MBR (MBR Protection): Một số AV/EDR có tính năng "MBR Guard", "Boot Sector Protection" (Kaspersky, Bitdefender, ESET, Windows Defender - Tamper Protection). BẬT LÊN.
- Chống virus USB: Quét USB trước khi mở. Dùng phần mềm chuyên dụng: Panda USB Vaccine, Bitdefender USB Immunizer, hoặc tạo file
autorun.infreadonly folder trên USB.
- Cập nhật Firmware/BIOS/UEFI: Vá lỗ hổng cấp firmware (ví dụ: LogoFAIL, PixieBoot) cho phép bootkit ghi firmware.
- BitLocker / FileVault / LUKS: Mã hóa toàn ổ cứng. Dù virus ghi MBR, nó không đọc/ghi được dữ liệu đã mã hóa. Yêu cầu TPM 2.0 + Secure Boot cho BitLocker hiệu quả nhất.
2. Phát hiện và Gỡ bỏ (Detection & Removal)
- Boot-time Scan (Quét khi khởi động): Chạy AV từ môi trường WinPE/Linux Live USB (Kaspersky Rescue Disk, Bitdefender Rescue Environment, Windows Defender Offline). Quét MBR/VBR trước khi OS nạp.
- Công cụ chuyên dụng MBR:
bootrec /fixmbr (Windows Recovery Environment) - Khôi phục MBR chuẩn Windows (xóa virus MBR đơn giản).fixboot, bcdboot - Sửa boot sector/VBR.- MbrFix, MBRWizard, TestDisk (Open source, mạnh).
- Reinstall OS (Cài lại Windows) - Sạch nhất: Format toàn bộ ổ cứng (xóa partition table -> new GPT/MBR) -> Cài mới. Backup dữ liệu trước.
- UEFI Secure Boot + Re-enroll keys: Nếu nghi ngờ UEFI firmware bị infect (rất hiếm, rất nặng) -> Flash lại firmware mới nhất từ nhà sản xuất mainboard/laptop.
Ví dụ nổi tiếng trong lịch sử
- Brain (1986): Virus boot sector đầu tiên cho PC (tác giả: Amjad & Basit Farooq Alvi, Pakistan). Lây qua đĩa mờ. Hình ảnh: "(c) Brain".
- Stoned (1987): Hiển thị thông điệp "Your PC is now Stoned!". Lây MBR + Floppy. Nhiều biến thể.
- Michelangelo (1991): Kích hoạt ngày 6/3 (sinh nhật Michelangelo) -> ghi đè sector quan trọng -> mất dữ liệu. Hoang mang truyền thông lớn.
- CIH / Chernobyl (1998): Ghi đè MBR + Xóa Flash BIOS (kẻ hủy diệt mainboard). Tác giả: Chen Ing-hau (Taiwan).
- Petya / NotPetya (2016/2017): Ransomware/Bootkit ghi đè MBR, mã hóa MFT (Master File Table), yêu cầu chuộc tiền. NotPetya là wiper viễn cảnh (giả vờ ransomware), gây thiệt hại $10B+ toàn cầu.
- BlackLotus (2023): Bootkit UEFI đầu tiên bypass Secure Boot trên Windows 10/11 hoàn chỉnh (CVE-2022-21894). Rất nguy hiểm.
Kết luận
Virus Boot Sector là mối đe dọa "cổ điển nhưng không bao giờ cũ". Chúng tấn công vào "cổ họng" của máy tính - nơi sự sống (HĐH) bắt đầu. Secure Boot (UEFI) + BitLocker + AV có Boot-time Scan + Tắt boot USB + Không cắm USB lạ là bộ tứ tượng bảo vệ hiệu quả nhất hiện nay. Nếu bị nhiễm: Boot-time scan -> Fix MBR -> Không được -> Cài lại Windows (Format all) -> Backup dữ liệu là trên hết.
