======================================================== zoom — el disco ========================================================
El disco por dentro
Es el componente más interesante de la sala, y por una razón concreta: dentro de un solo objeto conviven dos profundidades distintas de la escalera. Lo que se guarda en el medio —ficheros y sector de arranque— desaparece al reinstalar. Lo que vive en la electrónica de la propia unidad, no.
## [1] los primeros sectores
Medio kilobyte al principio del disco, por delante de la primera partición: un pequeño programa que arranca el sistema y el mapa de dónde empieza cada partición.
ataque Es la zona más castigada de la historia del malware. Sobrescribirla cuesta un instante y deja el equipo aparentemente muerto: enciende y no encuentra nada que arrancar. Y como está FUERA de toda partición, formatear una no la toca: por eso hizo falta durante años una orden específica para reescribirla.
defensa Reescribir el arranque, que se recupera en segundos. El hardware queda intacto: aquí se pierde tiempo, no silicio.
## [2] los datos y el sistema de ficheros
El grueso del medio: los programas y los documentos, con el índice que dice dónde está cada uno.
ataque Donde vive la inmensa mayoría del malware, y también donde el antivirus juega en casa: son ficheros, y un fichero se puede abrir y mirar. Aquí actúan los infectores clásicos y el ransomware, que no destruye el índice sino que cifra lo que apunta.
defensa Copias de seguridad. Es el único remedio que devuelve lo perdido, porque formatear elimina el malware y los datos.
## [3] la placa controladora
Toda unidad lleva su propio ordenador pegado detrás: un procesador, memoria de trabajo y su propio programa, que traduce las peticiones del sistema en movimientos del medio.
ataque El sistema operativo no ve ese código: no es un fichero de ninguna parte y no aparece en ningún análisis del disco. Quien lo controla puede alterar lo que el disco responde, incluida la posibilidad de mentir sobre su propio contenido.
defensa Sustituir la unidad. Verificar o restaurar el programa interno de un disco está fuera del alcance del usuario.
## [4] el área reservada
Una zona del medio que la unidad se guarda para sí y que no responde a las direcciones normales: ahí tiene sus tablas internas y los módulos de su propio programa.
ataque Es la explicación de por qué un implante de firmware sobrevive a un formateo y a un borrado seguro: esas órdenes recorren las direcciones accesibles, y esta zona no está entre ellas. Aquí se alojaron los implantes de disco que Kaspersky documentó en 2015 y atribuyó al grupo Equation, capaces de reprogramar unidades de una docena de fabricantes distintos.
defensa También la sustitución. No hay orden del sistema que llegue hasta aquí.
## en el catalogo
En el catálogo conviven los dos extremos de esta pieza. Michelangelo (1991) sobrescribía los primeros sectores cada 6 de marzo; Petya (2016) y NotPetya (2017) los sustituyeron por su propia pantalla de rescate, y Shamoon (2012) arrasó el arranque y los datos de unas treinta mil estaciones. Los cuatro atacan el medio, y de los cuatro se sale con un disco nuevo o una copia de seguridad. Los implantes de controladora, en cambio, no buscaban romper nada: buscaban un sitio donde nadie mira.
## por que importa la profundidad
«He formateado» resuelve dos de estas cuatro regiones y no toca las otras dos. Esa asimetría dentro de un mismo objeto es la mejor ilustración de por qué la matriz de supervivencia sale en diagonal: cada profundidad necesita su propio remedio.
> este componente es el peldaño 2 de la escalera de persistencia, y su fila en la matriz de supervivencia explica a qué remedios aguanta.
> fin del zoom_