En 2010 recibimos casos atribuidos a Whistler, un bootkit que infectaba el Master Boot Record (MBR). Su código intervenía durante el arranque y cargaba otros componentes maliciosos.
Por qué no era un proceso cualquiera
F-Secure documenta que los componentes adicionales podían almacenarse en sectores del disco fuera del sistema de archivos. Ese mecanismo dificultaba encontrarlos mirando únicamente las carpetas de Windows.
Eso no significa que un bootkit sea invisible en toda circunstancia, ni que pueda infectar cualquier medio por el mero hecho de conectarlo. Tampoco fue Whistler el primer bootkit conocido.
Lo que observábamos en aquellos casos
- Cambios inesperados en el volumen.
- Audio publicitario o música sin una ventana evidente.
- Procesos del navegador y ventanas de publicidad inesperados.
Son síntomas que admiten otras explicaciones. No bastan para identificar Whistler ni para concluir que el MBR está infectado. El artículo se refería a equipos y versiones de Windows de aquella época, no a todos los sistemas actuales.
Ante sospechas de persistencia
- Guarde evidencias: detección exacta, ruta o informe y síntomas observados.
- Analice el equipo: siga la guía con Malwarebytes y conserve el registro.
- Solicite diagnóstico: en Windows, genere reportes con FRST si lo pide el equipo de ForoSpyware.
No ejecute MBRCheck ni comandos de reparación del arranque siguiendo una noticia de 2010. La intervención depende del esquema de arranque y del diagnóstico. Nuestra guía de rootkits explica las diferencias.
