PandaLabs on tunnistanut useita rootkiteja (MBRtool.A, MBRtool.B, MBRtool.C) sisältäviä troijalaisia.
Rootkitit on suunniteltu vaihtamaan pääkäynnistyslohko, eli kovalevyn ensimmäinen tai nollasektori, omaansa. Tämä on uusi tapa hyödyntää rootkiteja, ja niihin liittyviä haittakoodeja on entistä vaikeampi tunnistaa.
PandaLabsin mukaan ainoa tapa puolustautua on tunnistaa rootkitit ennen kuin ne pääsevät koneelle.
Rikolliset hyödyntävät rootkiteja piilottaakseen haittaohjelmien toiminnot, jolloin ne ovat hankalia tunnistaa. Tähän asti rootkitit on asennettu järjestelmäprosesseihin, mutta PandaLabsin nyt tunnistamat rootkitit asennetaan sellaiselle kovalevyn osiolle joka käynnistyy jo ennen käyttöjärjestelmää.
Kun tällainen rootkit käynnistyy, se tekee kopion olemassa olevasta pääkäynnistyslohkosta, ja muokkaa sitä haitallisiin tarkoitusperiin sopivaksi. Jos pääkäynnistyslohkoon yritetään päästä käsiksi, rootkit ohjaa edelleen alkuperäiseen versioon, jolloin käyttäjä tai sovellukset eivät huomaa mitään epäilyttävää.
Kun tietokone käynnistetään, muokattu pääkäynnistyslohko käynnistyy ennen kuin käyttöjärjestelmä on latautunut. Sillä hetkellä rootkit suorittaa loput koodistaan, jolloin se voi piilottaa itsensä ja siihen liittyvän haittakoodin täydellisesti.
Tähän saakka rootkiteja on käytetty piilottamaan sovelluslaajennuksia tai prosesseja, mutta nyt löydetyt versiot voivat huijata järjestelmää suoraan.
Tämän haittakoodin poistamiseksi käyttäjien tulee käynnistää kone käynnistys-cd:n kanssa. Tällöin pääkäynnistyslohkoa ei käynnistetä. Sen jälkeen pääkäynnistyslohko palautetaan esimerkiksi fixmbr:n avulla Windowsin Recovery Consolen kautta.
Nämä rootkitit toimivat myös muilla alustoilla, kuten Linuxilla, sillä niiden toiminta on riippumatonta siitä, mikä käyttöjärjestelmä koneelle on asennettuna.