Onderzoekers hebben een Trojaans paard ontdekt dat zichzelf in de BIOS van computers verstopt, iets wat zowel zeldzaam als bijzonder is. De BIOS (Basic Input Output System) is een bibliotheek met een verzameling basisinstructies voor de communicatie tussen het besturingssysteem en de hardware, en is essentieel voor de werking van de computer.

Een bekend virus dat het BIOS aanpaste was CIH, ook wel het Tsjernobyl virus genoemd. Deze malware had alleen als doel het beschadigen van de BIOS, waardoor computers niet meer werkten. "De BIOS is een ideale plek voor malware om zich te verstoppen", zegt Snorre Fagerland van het Noorse anti-virusbedrijf Norman. Daardoor kan de malware meteen controle over het systeem krijgen, voordat anti-virus of beveiligingsmaatregelen van het besturingssysteem worden geladen.

BIOS-malware is daardoor zeer gevaarlijk. Ondanks de voordelen, is dit soort malware zeer zeldzaam. Fagerland merkt op dat het lastig is om de BIOS te herprogrammeren en verschilt de implementatie per leverancier. Verder moet een aanvaller administrator-rechten hebben om de BIOS te kunnen flashen. "Als je iets verkeerds doet loop je het risico dat je van de computer een dure presse-papier maakt."

Harde schijf
De Mebromi Trojan die nu is ontdekt, flasht niet alleen de BIOS, maar infecteert ook de Master Boot Record (MBR) van de harde schijf. De BIOS-aanpassing controleert of de malware nog steeds in de MBR van de harde schijf actief is. Is dit niet het geval, dan wordt de MBR opnieuw geïnfecteerd. Het opnieuw formatteren van de harde schijf of zelfs het vervangen ervan, kan het virus niet volledig verwijderen.

De malware doet zich volgens het Chinese 360 Security voor als een "game plug-in" en zou gebruikers vragen om hun virusscanner uit te schakelen. Eenmaal actief infecteert de malware de BIOS, de MBR van de harde schijf en Windows, waarna het aanvullende malware downloadt. Mebromi richt zich alleen op systemen met een Award BIOS.