De CIA beschikt over malware die de partitiebootsector van systemen aanpast en zichzelf in niet-gepartioneerde ruimte kan installeren, zo laat klokkenluiderssite WikiLeaks in een nieuwe onthulling weten. De malware wordt Angelfire genoemd en bestaat uit vijf onderdelen genaamd Solartime, Wolfcreek, Keystone, BadMFS en het Windows Transitory File system.

Het doel van Angelfire is om andere malware op computers met Windows XP of Windows 7 uit te voeren. Zo wijzigt Solartime de partitiebootsector om bepaalde kernelcode te laden. Deze kernelcode wijzigt vervolgens het Windows-bootproces, zodat Windows een malware-driver downloadt. Deze malware-driver en Solartime-bootcode worden in een versleuteld bestand op de harde schijf opgeslagen.

Wolfcreek is de kernelcode die door Solartime wordt uitgevoerd en andere drivers en user-mode applicaties kan laden. Keystone is weer verantwoordelijk voor het starten van gebruikersapplicaties. Hierbij wordt er een speciaal proces gestart en de malware direct in het geheugen geladen, waarbij de malware zich voordoet als svchost.exe. De geladen malware communiceert niet met het bestandssysteem, zodat er zo min mogelijk forensisch bewijs achterblijft, aldus de handleiding van de CIA.

Een ander onderdeel van Angelfire is BadMFS. Het wordt door de CIA omschreven als een verborgen bestandssysteem dat aan het einde van de actieve partitie wordt aangemaakt. Het wordt gebruikt voor de opslag van drivers en malware die Wolfcreek zal starten. Als laatste is er nog het Windows Transitory File system, dat volgens de Amerikaanse inlichtingendienst een nieuwe methode is om AngelFire te installeren. Of de CIA nog steeds van Angelfire gebruikmaakt is onbekend. De handleidingen die door WikiLeaks zijn gepubliceerd dateren van 2011. De malware zelf is niet vrijgegeven.