Los conceptos básicos del proceso de arranque
Primero, necesitas saber cómo funciona un gestor de arranque. Cuando el sistema se inicia por primera vez y el BIOS está a cargo, se inicializan todos los dispositivos necesarios para el inicio. Luego lee el CMOS para averiguar el dispositivo correcto desde el que arrancar. Abre el primer dispositivo y lee el primer sector de 512 bytes (donde debería estar instalado el MBR) en la memoria. Específicamente, transfiere el primer sector a la dirección física 0x7c00. Si los dos últimos bytes del sector son 0x55aa, lo considera un sector de arranque válido y lo ejecuta. En este punto, el BIOS está fuera de la imagen y el MBR se está ejecutando. El MBR es demasiado pequeño para arrancar la mayoría de los sistemas, así que en su lugar arranca la segunda etapa del cargador de arranque. Todo lo que tiene que hacer es poder localizar y ejecutar algunos datos en el disco duro que contiene el resto del cargador de arranque. En este caso, los módulos básicos de GRUB. En este punto, GRUB es completamente funcional y hace toda su magia para cargar su kernel e iniciar el proceso de arranque del sistema operativo. Ahora, ¿cómo puede el malware secuestrar esto?
Secuestrando el proceso
Si el malware desea modificar su proceso de arranque para que lo haga al azar con un código malicioso en juego, puede hacer una de varias cosas. En orden de niveles crecientes de sofisticación y sigilo:
-
Puede modificar el cargador de arranque de la segunda etapa o su configuración directamente, de modo que cuando se ejecuta, cambia su comportamiento al azar, realizando acciones maliciosas durante algunos arranques.
-
Puede modificar el MBR en el primer sector en la unidad de arranque para, al azar, elegir cargar un cargador de arranque de segunda etapa diferente. La segunda etapa diferente inyectaría código malicioso.
-
Podría modificar su BIOS para que cargue un MBR malicioso diferente para algunas botas. Esto es más difícil de lograr, pero es posible. Las infecciones de BIOS son bastante raras.
-
Podría modificar el firmware del disco duro para devolver datos maliciosos en el primer sector al azar. Esto requeriría un nivel muy alto de experiencia y es extremadamente raro (prácticamente desconocido).
Los síntomas mostrados
Pero aquí está la pregunta importante ... ¿Son los síntomas que está describiendo indicativos de alguno de los escenarios anteriores? Veamos los síntomas tal como los describió, uno por uno:
-
Su cargador de arranque contó desde 25 segundos, a pesar de que ha establecido un tiempo de espera más bajo.
-
Su instalación de Ubuntu a veces tiene una pantalla en blanco después de iniciar sesión o se reinicia al azar.
-
Se reinició sin que usted le ordenara hacerlo cuando cargó GRUB.
¿Son estos síntomas de un bootkit? No . El primer problema es muy probablemente un problema de configuración. Cada actualización, su instalación de Ubuntu actualiza el archivo de configuración de GRUB. El archivo de configuración es muy complejo y tiene un gran número de instrucciones condicionales. No sería sorprendente si sus configuraciones se sobrescriben ocasionalmente. El segundo problema solo suena como un error en Ubuntu. Tal vez un controlador para su hardware es buggy. Tuve un viejo sistema de Ubuntu que hizo algo similar. Una actualización lo arregló. Su tercer problema suena como un error en GRUB, o tal vez un error de hardware. Todo lo que estás experimentando es la falla del software. Como los errores siguen siendo molestos, puede intentar reinstalar GRUB o restablecer la configuración. Quizás busque en línea para ver si hay erratas conocidas para su software. Verifique los registros de su sistema para ver si está reportando un bloqueo de la aplicación que pueda llevar a la pantalla en blanco. Y, por supuesto, asegúrate de estar actualizado, para que obtengas todas las correcciones de errores más recientes para tu configuración.
Malware quiere ser sigiloso. No quiere que se descubra su presencia. El malware que es lo suficientemente bueno como para secuestrar el proceso de arranque será muy sigiloso y no revelará su existencia a través de algo tan simple como un choque espontáneo. Así que no, esto no es malware .