> О, большое спасибо за наводку и ссылку.
> Whistler - это самое близкое к оправданию существования секьюрбута, что я видел.
> Жаль, не известен инфектор буткита.

Stoned, хоть и был больше PoC, но ЕМНИП, PoC красивый -  прописывался в MBR c помощью сплойта в PDF :)
Ну и нашумело оно немного в СМИ как "расшифровщик" ТруЪКрипта (хотя по факту перехватывался вводиммый пользователем пароль).
А так подмена загрузчика малварщикам (тогда) особо никуда не уперлось.

Но таки что-то было:
https://www.ghacks.net/2010/09/01/how-to-detect-a-64-bit-alu.../
>  new variant of Alureon that infects the Master Boot Record (MBR) instead of an infected driver.
> While this new variant did not affect 64-bit machines, it had an inert file called ldr64 as part of its virtual file system.
> More recently, we discovered an updated variant that successfully infected 64-bit machines running Windows Vista or
> higher, while rendering 64-bit Windows XP and Server 2003 machines unbootable.