Что за вирус win95 cih

Программа не упакована и не криптована, поэтому антивирусы её определяют как заражённую CIH'ом. Это нормально.
В любом случае, код вируса не работает в NT+ системах, а только в Win9x.

"Умный вирусописатель" - словосочетание, содержащее в себе внутреннее противоречие.
У этих ребятишек неудовлетворённое больное самолюбие.
Далеко закинув, результатов можно не увидеть. А тут - опана! - все компьютеры
в родном университете загажены тобой! Круто!

В случае с CIH всё, правда, не так однозначно.
CIH занимался порчей BIOS'а - сразу же на рынке появилась куча "металлолома",
а народ радостно побежал в магазины за новыми компьютерами.
Да и "убитое" железо тоже можно было "вылечить", и небесплатно.
(Ха! - с помощью капроновой ниточки, если помните).

В общем, корыстные мотивы тут ярко выражены.
И сработать это было должно неподалёку от инициатора этой затеи,
иначе зачем бы он стал делать благо для торгашей и умельцев
на другом полушарии?

В раздаче выложена утилита (CIH_KILL), которая позволяет запустить CIH с опциями.
Если запустить безопасную версию вирусни, то можно посмотреть, как он заражает файлы и какие изменения в них при этом происходят.

День рождения WIN95.CIH

Резидентный вирус, работает только под Windows95/98 и заражает PE-файлы (Portable Executable). Имеет довольно небольшую длину - около 1Кб. Был обнаружен "в живом виде" на Тайване в июне 1998 - автор вируса заразил компьютеры в местном университете, где он (автор вируса) в то время проходил обучение. Через некоторое время зараженные файлы были (случайно?) разосланы в местные Интернет-конференции, и вирус выбрался за пределы Тайваня: за последующую неделю вирусные эпидемии были зарегистрированы в Австрии, Австралии, Израиле и Великобритании. Затем вирус был обнаружен и в нескольких других странах, включая Россию.

Примерно через месяц зараженные файлы были обнаружены на нескольких американских Web-серверах, распространяющих игровые программы. Этот факт, видимо, и послужил причиной последовавшей глобальной вирусной эпидемии. 26 апреля 1999 года (примерно через год после появления вируса) сработала "логическая бомба", заложенная в его код. По различным оценкам, в этот день по всему миру пострадало около полумиллиона компьютеров - у них оказались уничтожены данные на жестком диске, а на некоторых плюс к тому испорчены микросхемы на материнских платах. Данный инцидент стал настоящей компьютерной катастрофой - вирусные эпидемии и их последствия никогда до того не были столь масштабными и не приносили таких убытков.

Видимо, по тем причинам, что 1) вирус нес реальную угрозу компьютерам во всем мире и 2) дата срабатывания вируса (26 апреля) совпадает с датой аварии на Чернобыльской атомной электростанции, вирус получил свое второе имя - "Чернобыль" (Chernobyl).

Автор вируса, скорее всего, никак не связывал Чернобыльскую трагедию со своим вирусом и поставил дату срабатывания "бомбы" на 26 апреля по совсем другой причине: именно 26 апреля в 1998 году он выпустил первую версию своего вируса (которая, кстати, так и не вышла за пределы Тайваня) - 26 апреля вирус "CIH" отмечает подобным образом свой "день рождения".

Как вирус работает
При запуске зараженного файла вирус инсталлирует свой код в память Windows, перехватывает обращения к файлам и при открытии PE EXE-файлов записывает в них свою копию. Содержит ошибки и в некоторых случаях завешивает систему при запуске зараженных файлов. В зависимости от текущей даты стирает Flash BIOS и содержимое дисков.

Запись в Flash BIOS возможна только на соответсвующих типах материнских плат и при разрешающей установке соответственного переключателя. Этот переключатель обычно установлен в положение "только чтение", однако это справедливо не для всех производителей компьютеров. К сожалению Flash BIOS на некоторых современных материнских платах не может быть защищена переключателем: одни из них разрешают запись в Flash при любом положении переключателя, на других защита записи в Flash может быть отменена программно.

После успешного стирания Flash-памяти вирус переходит к другой деструктивной процедуре: стирает информацию на всех установленных винчестерах. При этом вирус использует прямой доступ к данным на диске и тем самым обходит встроенную в BIOS стандартную антивирусную защиту от записи в загрузочные сектора.

Известно три основные ("авторские") версии вируса. Они достаточно похожи друг на друга и отличаются лишь незначительными деталями кода в различных подпрограммах. Версии вируса имеют различные длины, строки текста и дату срабатывания процедуры стирания дисков и Flash BIOS:

Длина Текст Дата срабатывания Обнаружен "в живом виде"
1003 CIH 1.2 TTIT 26 апреля Да
1010 CIH 1.3 TTIT 26 апреля Нет
1019 CIH 1.4 TATUNG 26 каждого месяца Да - во многих странах

Технические детали
При заражении файлов вирус ищет в них "дыры" (блоки неспользуемых данных) и записывает в них свой код. Присутствие таких "дыр" обусловлено структурой PE-файлов: позиция каждой секции в файле выравнена на определенное значение, указанное в PE-заголовке, и в большинстве случаев между концом предыдущей секции и началом последующей есть некоторое количество байт, которые не используются программой. Вирус ищет в файле такие неиспользуемые блоки, записывает в них свой код и увеличивает на необходимое значение размер модифицированной секции. Размер заражаемых файлов при этом не увеличивается.

Если в конце какой-либо секции присутствует "дыра" достаточного размера, вирус записывает в нее свой код одним блоком. Если же такой "дыры" нет, вирус дробит свой код на блоки и записывает их в конец различных секций файла. Таким образом, код вируса в зараженных файлах может быть обнаружен и как единый блок кода, и как несколько несвязанных между собой блоков.

Вирус также ищет неиспользуемый блок данных в PE-заголовке. Если в конце заголовка есть "дыра" размером не менее 184 байт, вирус записывает в нее свою startup-процедуру. Затем вирус изменяет стартовый адрес файла: записывает в нее адрес своей startup-процедуры. В результате такого приема структура файла становится достаточно нестандартной: адрес стартовой процедуры программы указывает не в какую-либо секцию файла, а за пределы загружаемого модуля - в заголовок файла. Однако Windows95 не обращает внимания на такие "странные" файлы, грузит в память заголовок файла, затем все секции и передает управление на указанный в заголовке адрес - на startup-прецедуру вируса в PE-заголовке.

Получив управление, startup-процедура вируса выделяет блок памяти VMM-вызовом PageAllocate, копирует туда свой код, затем определяет адреса остальных блоков кода вируса (расположенных в конце секций) и дописывает их к коду своей startup-процедуры. Затем вирус перехватывает IFS API и возвращает управление программе-носителю.

С точки зрения операционной системы эта процедура наиболее интересна в вирусе: после того, как вирус скопировал свой код в новый блок памяти и передал туда управление, код вируса исполняется как приложение Ring0, и вирус в состоянии перехватить AFS API (это невозможно для программ, выполняемых в Ring3).

Перехватчик IFS API обрабатывает только одну функцию - открытие файлов. Если открывается файл с расширением EXE, вирус проверяет его внутренний формат и записывает в файл свой код. После заражения вирус проверяет системную дату и вызывает процедуру стирания Flash BIOS и секторов диска (см. выше).

При стирании Flash BIOS вирус использует соответствующие порты чтения/записи, при стирании секторов дисков вирус вызывает VxD-функцию прямого обращения к дискам IOS_SendCommand.

Известные варианты вируса
Автор вируса не только выпустил копии зараженных файлов "на свободу", но и разослал исходные ассемблерные тексты вируса. Это привело к тому, что эти тексты были откорректированы, откомпилированы и вскоре появились модификации вируса, имевшие различные длины, однако по функциональности они все соответствовали своему "родителю". В некоторых вариантах вируса была изменена дата срабатывания "бомбы", либо этот участок вообще никогда не вызывался.

Известно также об "оригинальных" версиях вируса, срабатывающих в дни, отличные от 26 [апреля]. Данный факт объясняется тем, что проверка даты в коде вируса происходит по двум константам. Естественно, что для того, чтобы поставить таймер "бомбы" на любой заданный день, достаточно поменять лишь два байта в коде вируса.

На вашем винчестере похозяйничала злобная тварь Win95.CIH ? Да — этот зловред до сих пор бродит по свету, то и дело принимаясь за старое. BIOS цел, но испорчен FAT? Еще не все потеряно — бесценная информация поддается восстановлению!
Все не так уж плохо: вирус портит каждый восьмой сектор всех жестких дисков. А это значит, что в любом случае теряется Master Boot Record (главная загрузочная запись), так как она находится в самом начале диска: Cyl0, Side0, Sec1 — что на русском языке означает: "Цилиндр 0, Сторона 0, Сектор 1". Иногда (в зависимости от объема диска) может потеряться Boot Record, расположенная на Cyl0, Side1, Sec1. То есть частично разрушены обе FAT. Первая копия начинается с Cyl0, Side1, Sec33. А вторая копия идет следом за ней.
Также частично разрушены файлы, находящиеся в самом начале диска. Это служебные файлы операционной системы, интереса они не представляют, и то, что они не подлежат восстановлению, нас не должно огорчать.
Теперь нужно восстановить Master Boot Record, Partition Table, Boot Record и FAT. Это не так сложно и страшно, как звучит. Для восстановления нам понадобятся программы Diskedit и dub.exe ( можно взять на нашем компакте ), а также второй жесткий диск.

Процесс пошел

Так как всего существует две копии FAT, то

DUB совсем не дуб, когда доходит до дела.

Теперь запускаем fdisk.exe . Надо создать основной раздел точно такого же размера, как раньше. Если этого не сделать — будут отличаться размеры FAT, и ROOT окажется в другом месте. Выходим из fdisk, перезагружаемся. Теперь форматируем диск: format /u /s . Это восстановит Master Boot Record, Partition Table и Boot Record.
Теперь, в качестве финального штриха, запускаем Diskedit, копируем на место первой и второй существующих FAT нашу исправленную версию. На место нового ROOT копируем старый, сохраненный. Перезагрузка.

All done!

Уф-ф. все получилось. Если нигде не было ошибок. Здесь, как у саперов, — достаточно одной неточности, и. Сапер от лопатки недалеко падает.
Будьте бдительны — не позволяйте всякой нечисти хозяйничать у вас на винчестере. Иначе придется пройти через то, что я описал.

"Лабораторией Касперского" (www.kaspersky.ru) меньше месяца назад был запущен новый сетевой проект — TOP 20 самых распространенных в Рунете вирусов (обновляется ежемесячно). Данные для сводки собираются не только по комментариям пользователей, но и по информации, предоставленной почтовыми службами и сайтами различной направленности. Так что выборка довольно большая, и на ее основе можно делать соответствующие выводы. По крайней мере, ознакомление со сводкой может локализовать поиск злобных вирей на вашей машине.
Если вы подозреваете, что на вашем компьютере поселился злобный "зверь", а полноценного антивирусного пакета под рукой нет, то, сверившись со сводкой, вы можете скачать из Сети несколько бесплатных утилит, призванных уничтожить конкретные вирусы (подобные программы выпускаются самыми различными компаниями и частными лицами). Сканируете свои винты на предмет наличия болезнетворных тварей — и спите спокойно.

Nimda шагает по Сети

Сбываются худшие предсказания экспертов, согласно которым червь Nimda войдет в историю Интернета как один из самых заразных вирусов. Казалось бы, сколько предупреждали, сколько объявлений на сайтах вешали. ничто не помогает. По сей час заражению ежедневно подвергаются около пятидесяти тысяч компьютеров. И на данный момент по всему миру заражено около трех миллионов машин, а ущерб от действия Nimda составил порядка четырехсот миллионов долларов.
Конечно, пока это не идет ни в какое сравнение с ущербом, нанесенным "червем" Code Red, буйствовавшим на территории Сети с июля по август месяц сего года. Тогда потери составили порядка двух с половиной миллиардов "зеленых рублей". Но Nimda, по заверениям тех же специалистов, только набирает обороты, и покончить с ним столь же быстро, как и с "Красным Кодом", не удастся.
А ведь для защиты от напасти достаточно лишь обновить антивирусные базы (практически все антивирусы на данный момент лечат Nimda) или скачать бесплатную утилиту-доктор с сайта "Лаборатории Касперского".

Вирусы — убийцы Интернета?

Не секрет, что человечество, сведя практически на нет потуги главного слуги эволюции — естественного обора — контролировать людскую численность и допускать к размножению лишь самых выдающихся, лоб в лоб столкнулось с проблемой чистоты вида. Увы, давно канули в бозе времена, когда генофонд нации составляли крепкие, здоровые гены сильнейших ее представителей. С ростом технологии рос и уровень жизни, а это, в свою очередь, вело к тому, что даже самые слабые — а зачастую именно они — имели возможность наравне с сильными оставить после себя потомство. В генофонде человечества начали накапливаться всевозможные заболевания, и сейчас мы, можно сказать, стоим на грани вымирания. Так считают ученые.
И кто бы мог подумать, что похожая картина происходит сейчас и с Интернетом. Только темпы развития ее куда как более высоки, а жизнь Сети, по мнению тех же самых ученых, увы, подходит к концу. Группа исследователей из корпорации MessageLabs, специализирующейся на контроле-сканировании почтовых отправлений, пришла к таким неутешительным выводам.
В начале 1999'го года каждое тысячное виртуальное письмо было заражено тем или иным вирусом. С наступлением 2000'го года количество инфицированной почты возросло ни много ни мало в два раза. Сейчас — в конце 2001'го — заразу можно подхватить из каждого 300'го послания. Проведя ряд несложных подсчетов, специалисты MessageLabs сделали заключение, что уже в 2004'ом году будет заражено каждое сотое письмо, ну а к 2008 году Сетью вообще нельзя будет пользоваться для общения, не боясь заразиться. Увы, Интернет оказался эволюционно несовершенным, его "иммунная" система — антивирусы — пока не выдерживает столь мощной атаки вирусов извне. Так что либо в самом ближайшем будущем будут придуманы радикально новые способы защиты виртуальных сообщений, либо Сеть будет мертва для общения. Хочется надеяться, что антивирусные лаборатории не подкачают, и наши внуки еще смогут насладиться радостью пребывания в онлайне.

Червь-FATоед

Читайте также:

• Сколько человек умирает от гриппа в год в россии статистика
• Как подготовить грудничка к прививке от гепатита в
• Что за вирус диплококки
• Вирус обнаружено шпионское по
• Грипп при циррозе печени

Пожалуйста, не занимайтесь самолечением!
При симпотмах заболевания - обратитесь к врачу.