OpenPetya es un proyecto educativo que reconstruye la lógica de un bootkit para analizar cómo el malware toma el control del proceso de arranque, sustituyendo el MBR y cifrando la Master File Table (MFT) mediante el algoritmo Salsa20 antes de iniciar el sistema operativo.

Análisis de OpenPetya: Comprendiendo el funcionamiento de los bootkits modernos

OpenPetya es una iniciativa educativa diseñada para analizar qué sucede exactamente en las capas profundas de un ordenador cuando un bootkit toma el control del proceso de arranque. A diferencia del ransomware convencional que actúa sobre el sistema operativo, este proyecto recrea la lógica de amenazas como Petya, que intervienen el inicio del sistema antes de que Windows cargue.

El proyecto no busca ser una copia maliciosa, sino un ejercicio de aprendizaje desarrollado en Assembly, C y C++ para operar a nivel de hardware. Su arquitectura se basa en dos pilares fundamentales:

• Master Boot Record (MBR) personalizado: Sustituye el sector de arranque estándar para redirigir el control hacia el malware.
• Stage-2: Un núcleo funcional que gestiona la transición del procesador al modo Protegido (32 bits), permitiendo ejecutar operaciones complejas que el modo Real de 16 bits no permite.

En cuanto al cifrado, OpenPetya no ataca archivos individuales, sino que se enfoca en la Master File Table (MFT) de NTFS. Al cifrar este índice central mediante el algoritmo Salsa20, el sistema se vuelve inaccesible aunque los datos sigan físicamente en el disco.

Para garantizar que sea una herramienta de estudio y no una amenaza, el autor ha eliminado las funciones de control remoto (C2) y ha incluido copias de seguridad de la MFT en sectores ocultos, permitiendo así la restauración del sistema tras introducir la contraseña correcta.

En resumen, OpenPetya sirve como un laboratorio para entender la programación de bajo nivel, la arquitectura de bootloaders y la criptografía aplicada, demostrando que comprender la lógica interna de un ataque es más valioso que simplemente identificar sus firmas.

Proyecto: https://github.com/iss4cf0ng/OpenPetya