Virusbestrijders hebben in het wild een rootkit ontdekt die het Master Boot Record (MBR) van harde schijven infecteert, en zo onopgemerkt Windows systemen overneemt. De malware wordt verspreidt via exploits voor oude Windows en applicatie lekken. Eenmaal actief overschijft het het MBR met de eigen code, en maakt een kopie van de originele MBR. De rootkit driver wordt opgeslagen op een niet gebruikt gedeelte van de harde schijf, meestal de laatste sectoren. Deze code zorgt ervoor dat Windows de driver laadt.

Tijdens de eerstvolgende herstart, iets wat de malware zelf kan regelen, neemt de rootkit BIOS interrupt 13h over, zodat het volledige controle heeft over wat het besturingssysteem laadt, en kan het de Windows kernel real-time aanpassen en overnemen. Op deze manier hoeft de malware niet het Windows register aan te passen en is er ook geen bestand nodig.

Om zichzelf in Windows te verbergen, wijzigt de rootkit verschillende disk.sys routines. Als een applicatie het MBR wil lezen, wordt de backup van het origineel getoond, zodat niemand wat door heeft. Daarnaast maakt de malware verbinding met verschillende hosts.

Windows Vista zou alleen kwetsbaar zijn als UAC is uitgeschakeld, omdat het dan het MBR kan overschrijven. Iets wat niet mogelijk is als UAC aan staat. Zelfs als de rootkit toch de code in het MBR weet te injecteren, kan die het systeem niet overnemen omdat het laadproces tussen Windows XP en Vista verschilt. Beveiligingsexperts verwachten dat we meer van dit soort rootkits kunnen zien, omdat veel anti-rootkit oplossingen die niet kunnen detecteren. "De strijd verlaat het besturingssysteem, en is het begin van een heel nieuwe oorlog", zegt Marco Giuliani van Prevx.