本页使用了标题或全文手工转换

CIH病毒

维基百科,自由的百科全书
跳转至: 导航搜索
CIH
技術名稱 Win32.CIH, Win95.CIH
別名 Spacefiller、PE_CIH
家族 CIH
分類 系统病毒
感染系统 Microsoft Windows 95
Microsoft Windows 98
Microsoft Windows Me
子類型 PE格式
發現時間 1998年9月
來源地 台湾
作者 陈盈豪(Chen Ing-hau)

CIH(英语又称为ChernobylSpacefiller)是一种电脑病毒,其名稱源自它的作者,當時仍然是台灣大同工學院(現大同大學)學生陈盈豪的名字拼音注音Chen Ing-hau)縮寫。它被认为是最有害的广泛传播的病毒之一,会破坏用户系统上的全部信息,在某些情况下,会重写系统的BIOS。因為CIH病毒的1.2和1.3版發作日期為4月26日(第一版本病毒創造出來的時間),正好是前蘇聯(位於今日烏克蘭)核電廠災害“切尔诺贝利核事故”的紀念日,故曾被認為病毒作者撰寫動機和切尔诺贝利事件有關,因此CIH病毒也被稱作切尔诺贝利(Chernobyl)病毒。

历史[编辑]

1998年9月,雅马哈公司为感染了该病毒的CD-R400驱动提供一个固件更新。1998年10月,用户传播的Activision公司游戏SiN的一个演示版因为在某一用户的机器上接触被感染文件而受到感染。这个公司的传染源来自IBM1999年3月间发售的已感染CIH病毒的一组Aptiva品牌个人电脑。1999年4月26日,公众开始关注CIH首次发作时,这些电脑已经运出一个月了。这是一宗大灾难,全球不计其数的电脑硬盘被垃圾数据覆盖,甚至破坏BIOS,无法启动。至2000年4月26日,亚洲報稱發生多宗损坏,但病毒没有传播开来。2001年3月发现Anjulie蠕虫病毒,它将CIH v1.2植入感染的系统。

这个病毒的死灰复燃是在2001年。一个用珍妮佛洛佩茲的裸照伪装的VBScript文档里的爱虫病毒的一个变种包含CIH病毒的挂钩例程,从而使该病毒在互联网上传播开来。

一个修改版本是CIH.1106,发现于2002年12月,但是没有严重的破坏性。

只有CIH感染大量发信的電腦蠕蟲(如求职信病毒)所使用的程序,或有Anjulie蠕虫病毒参与时,CIH才会被看成是一个威胁。但是CIH病毒只在Windows 9598Windows Me系统上发作,影响有限。现在由於人们对它的威胁有了认知,且它只能运行于旧的Windows 9X操作系统,CIH不再像他刚出现时分布那么广泛传播。

病毒特征[编辑]

CIH以可移植可执行文件格式在Windows 95Windows 98Windows ME上传播。CIH不会在Windows NT内核的操作系统上运行或传播。如Windows 2000Windows XPWindows 7等。

由于CIH会感染可执行文件,它会占据一般的可执行文件剩余的位置。因此,CIH又有一个绰号叫“空间填充者(Spacefiller)”。这个病毒大小不到1KB,但是文件不会增大。它使用从处理器Ring3到Ring0跳转的方法触发系统调用。

CIH會感染Windows的PE(Portable Executable)执行文件,並且把它不到1KB(1024 bytes)的程序代码分割成几個部分,分別寫入PE执行文件中各個段所尚未填滿的地方。因此被感染的执行文件大小並不會增加。因為Windows 95Windows 98Windows ME等等這些非Windows NT的核心,存在有處理結構化例外處理(SEH, Structured Exception Handling)的問題,以及Windows 95/98/ME沒有保護中斷描述表(IDT, Interrupt Description Table)的機制(正確保護模式下的應用程序無權改动。Window NT系列則有保護,因此病毒無法順利執行),CPU會用最高的權限Ring 0直接去執行這個SEH所指向的程序代码。因此一開始病毒被執行後,他會置換掉原本程式或Windows預設的SEH位址,透過觸發代码異常中斷而讓CPU切換回Ring 0模式去執行這部分CIH所設計的程式順利取得Ring 0權限。由於CPU處在Ring 0模式下,CIH可以任意地存取Windows內核部分和系統API的掛鉤,進而繼續感染其他文件,或是發作時候對硬件做些直接I/O動作。

当它发作时,是非常危险的。首先病毒会在硬件软件中从第0扇区开始写入零数据。这样经常删除了分区表的内容,将有可能死机。

第二个,它也会尝试将垃圾信息写入Flash BIOS。如果保护跳线是关闭的,这一过程会在基于Intel 430TX芯片组的机器上起作用,上述芯片组将允许电脑程序刷写Flash BIOS

对于第一个,如果数据很重要,可以将硬盘交给一些专业恢复数据的公司,这将有可能使数据恢复;或者在某些情况下,可以使用Fix CIH,一个由史蒂夫·吉布森编写的免费软件。否则,必须运行FDISK重新划分分区。不过,当第二种情况发生时,电脑将无法启动。需要请技术人员重写或更换Flash BIOS芯片。

CIH v1.2(CIH.1103)[编辑]

这是最常见的版本,他的发作时间为4月26日。 它包含这个字符串:CIH v1.2 TTIT(TA-TUNG IN TAIWAN的縮寫)

CIH v1.3(CIH.1010A和CIH1010.B)[编辑]

这个版本的CIH也是在4月26日发作。 它包含这个字符串:CIH v1.3 TTIT

CIH v1.4(CIH.1019)[编辑]

它在每月26日发作。他仍然存在,虽然他并不常见。 它包含这个字符串:CIH v1.4 TATUNG

CIH.1106[编辑]

它还是个变化很小的一个变种,出现在2002年12月。

参见[编辑]

外部链接[编辑]