A vírusok általában szoftveres károkat okoznak a számítógépben. A vírusok így vagy úgy megnehezítik a számítógép munkáját, figyelnek vagy ellopnak bizonyos felhasználói adatokat. Például egy nagyon kellemetlen, ami nagyon bosszantóan kísérti a felhasználót bármely böngészőben. De ez mind szoftver. Megrongálódott, vírussal fertőzött szoftver termék gyógyítható vagy pótolható. Vannak olyan vírusok, amelyek károsíthatják a számítógép hardverét?

Vírus Win95.CIH (Csernobil)

Csernobil - ez a név az első számítógépes vírusnak, amely kimutatta, hogy a vírusok nemcsak károsíthatják szoftver, hanem számítógépes hardver is. A csernobili vírus, amelyet 1998-ban írt egy tajvani diák, megsértette néhány számítógép BIOS-tartalmát. alaplapok, ami magát az alaplapot is károsíthatja. És voltak ilyen esetek. De mégis, a fő fogás az összes információ megsemmisítése volt merevlemez számítógép. Nos, ez legalább valami plusz, mert a szükség alábbhagyott. Mindazok, akiknek szerencsétlenségük volt megszerezni ezt a vírust, már szenvedtek.

A vírus keresztnevét - Win95.CIH - szerzőjétől kapta. A vírusának egyébként három különböző verzióját adta ki, amelyek nem nagyon különböztek egymástól. Igaz-e, legújabb verziója minden hónap 26-án indul. És minden verziónak megvolt a saját száma. De a második nevet - a csernobili vírust - a számítógépes világ adta neki. Miért? Mert a vírus április 26-án vált aktívvá, és ezen a napon hajtotta végre minden pusztító akcióját. És sajnos 1986-ban ezen a napon történt a csernobili baleset. Bár, mint a vírus szerzője mondja, a vírus indulási dátumát - minden év április 26-át - csak azért választották, mert a vírus maga ünnepelte születésnapját ezen a napon. Ő azonban a maga módján ünnepelt.

A csernobili vírus veszélye

A csernobili vírus már nem jelent veszélyt, mivel ennek a vírusnak a munkakörnyezete a Windows 95 és 98 operációs rendszert futtató számítógépek jelentik, de ez nem jelenti azt, hogy ne állna fenn a számítógép hardverét károsító vírus fertőzés veszélye. Ez csak azt mutatja, hogy világszerte sokan tudnak erről a lehetőségről, és szeretnék megismételni a tajvani diák sikerét. És néhánynak már sikerült is. De nem valószínű, hogy híresebbek lesznek, mint Csernobil. Mert a maga nemében az elsőt könnyebb megjegyezni.

CIH, vagy "Csernobil"(Virus.Win9x.CIH) egy számítógépes vírus, amelyet Chen Ying Hao tajvani diák írt 1998 júniusában. Ez egy rezidens vírus, amely csak operációs rendszer alatt működik. Windows rendszer 95/98.

Történet

1999. április 26-án, a csernobili baleset évfordulóján a vírus aktivizálódott, és megsemmisítette a fertőzött számítógépek merevlemezein lévő adatokat. Egyes számítógépeken a BIOS chipek tartalma megsérült. A vírus aktiválódásának és a csernobili baleset időpontjának egybeesése adta a vírus második „Csernobil” nevét, amely még a „CIH”-nál is népszerűbb az emberek körében.

Különböző becslések szerint körülbelül félmillió ember szenvedett el a vírustól. személyi számítógépek az egész világon.

A The Register szerint 2000. szeptember 20-án a tajvani hatóságok letartóztatták a híres számítógépes vírus megalkotóját.

Név

A CIH vírus a "Csernobil" nevet kapta. A név eredetének két lehetséges változata van:

1. A vírus számos számítógépben okozott jelentős károkat világszerte.
2. A szerző által elhelyezett „logikai bomba” működési időpontja egybeesik a csernobili atomerőműben történt április 26-i balesettel.

Terítés

Az első működő vírust 1998 júniusában fedezték fel Tajvanon a vírussal fertőzött számítógépek szerzője az egyetemén. A következő héten vírusjárványokat regisztráltak Ausztriában, Ausztráliában, Izraelben és az Egyesült Királyságban. A vírus nyomait később több más országban, köztük Oroszországban is megtalálták. Több amerikai webszerver terjesztése fertőzése számítógépes játékok, volt az oka egy 1999. április 26-án kezdődött globális vírusjárványnak. Félmillió számítógépen „logikai bombát” robbantottak ki, amely megsemmisítette a merevlemezeken lévő információkat és megsértette a BIOS-chipeken lévő adatokat.

Működési elvek

Amikor egy fertőzött fájlt futtat, a vírus ráírja a kódját Windows memória, elfogja az EXE fájlok indítását, és rosszindulatú kódot ír beléjük. Attól függően aktuális dátum a vírus károsíthatja az adatokat Flash BIOSÉs merevlemezek számítógép.

A vírus szerzője

Chen Ing Hau, született 1975. augusztus 25-én, Tajvanon.
Chen CIH-t írt, miközben a Tatung Egyetemen tanult Tajpejben. Amikor létrehozta a vírust, komoly megrovást kapott az egyetemtől.
Amikor megtudta, hogy a vírus széles körben elterjedt, ideges lett. Néhány osztálytársa határozottan azt tanácsolta neki, hogy ne ismerje el a vírus létrehozását, de ő maga bízott benne, hogy ha elegendő idő áll rendelkezésre, a biztonsági szakértők képesek lesznek rájönni. Ezért még az egyetem elvégzése előtt hivatalos bocsánatkérést írt az interneten, amelyben nyilvánosan bocsánatot kért Kína azon lakosságától, akiknek számítógépe megsérült. Katonai szolgálata miatt Chen szolgálatra ment. Az akkori tajvani törvények szerint semmilyen törvényt nem szegett meg, és soha nem vonták felelősségre a vírus létrehozásáért.
Chen jelenleg a Gigabyte-nál dolgozik.

Tények

• A "Csernobil" csak Windows95/98 alatt működik.
• A vírus meglehetősen kicsi, körülbelül 1 kB.
• A vírus szerzője is kiküldte forráskód vírus.
• 2006 májusában Szergej Kazacskovot, az egyik voronyezsi műszaki egyetem hallgatóját az Orosz Föderáció Büntetőtörvénykönyvének 273. cikke alapján 2 év felfüggesztett börtönbüntetésre ítélték számítógépes vírusok, köztük a CIH internetes terjesztése miatt.

A Wikipédiáról másolva és kissé szerkesztve

Valószínűleg kevesen emlékeznek rá, de április 26-án nemcsak a csernobili tragédia történt, hanem az a dátum is, amikor számítógép-felhasználók százezrei veszítették el az összes információt a lemezeiken, és néhányan még az alaplapjukon is. CIH vírus miatt. Elmondjuk, mi történt 1999-ben, ki volt a tettes, és hogyan tudott a vírus globálisan terjedni.

Ki hozta létre a vírust és miért?

A CIH, a Virus.Win9x.CIH vagy a „Chernobyl” egy számítógépes vírus, amely csak alatt működik. operációs rendszer Windows 95/98/ME, Chen Yinghao (akkoriban) tajvani diák által írt. Először 1998 júniusában fedezték fel „élve” Tajvanon, ahol a vírus szerzője a Datung Egyetem számítógépeit fertőzte meg.

Chen Yinghao a számítógépnél

Egy idő után a vírus helyi internetes konferenciákon keresztül terjedt, és onnan az országon kívülre is eljutott. Később vírusjárványokat regisztráltak Ausztriában, Ausztráliában, Izraelben és az Egyesült Királyságban. Aztán a vírus átterjedt más országokra, köztük Oroszországra és Fehéroroszországra is.

Körülbelül egy hónappal később fertőzött fájlokat fedeztek fel több terjesztő amerikai webszerveren játékprogramok, amely hozzájárult a globális vírusjárványhoz.

Azt írják, hogy Chen Yinghao vírust hozott létre, hogy megbüntesse az eladókat víruskereső programok, amely haszontalannak bizonyult az egyetemi számítógépeken lévő vírusok elleni küzdelemben.

Amikor megtudta, hogy a vírus az egész világon elterjedt, ideges volt, de bízott benne, hogy kellő idővel a biztonsági szakértők képesek lesznek rájönni.

1999. április 26

Erre a dátumra valószínűleg még emlékeznek az akkor fertőzött számítógépek tulajdonosai. Ezen a napon robbant fel a víruskódba ágyazott „logikai bomba”. Különböző becslések szerint ezen a napon világszerte mintegy félmillió számítógép sérült meg - a merevlemezükön lévő adatok megsemmisültek, egyeseken pedig a rajtuk lévő BIOS-chipek tartalma is megsérült. alaplapok(így teljesen működésképtelenek voltak).

Ez az incidens valóságos számítógépes katasztrófa volt – a vírusjárványok és következményeik még soha nem voltak ekkora léptékűek és ekkora veszteségeket hoztak.

Különféle becslések szerint a vírus okozta kár 20-80 millió dollár között mozgott. Ez nem számít bele az erkölcsi kárba - rengeteg ember veszítette el személyes adatait, mert 1999-ben még nem terjesztették felhőalapú tárolásés streaming szolgáltatások.

Nyilvánvalóan, mivel a vírus valós veszélyt jelentett a számítógépekre az egész világon, és működésének időpontja egybeesett a csernobili atomerőmű balesetének időpontjával, megkapta második, sokkal gyakoribb nevét - „Csernobil”.

A vírus szerzője szinte biztosan nem kapcsolta össze a csernobili tragédiát ötletével, és egészen más okból tűzte ki a „bomba” működési dátumát április 26-ra: 1998-ban ezen a napon adta ki a vírusának első verziója (amely egyébként sosem lépte túl Tajvan határait), i.e. Így április 26-án a vírus „születésnapját” ünnepli.

Erre emlékezett vissza az egyik áldozat: „Miután figyelmeztetést kapott, az egész iroda megváltoztatta a dátumot, hogy ne aktiválódjon... És hogy elcsesztem, elfelejtettem visszacsavarni... És pontosan egy hónap múlva összeomlott a számítógép..."

Hogyan működött a vírus

Egy fertőzött fájl indításakor a vírus a Windows memóriájába telepítette a kódját, elfogta a fájlhívásokat, és az elindított EXE fájlok megnyitásakor saját másolatát írta bele. A kód hibái miatt a vírus időnként lefagyasztotta a rendszert a fertőzött fájlok futtatásakor. És amikor elérkezett a megadott dátum, megpróbáltam törölni a Flash BIOS-t és a lemezek tartalmát.

BIOS modul az alaplapon

A Flash BIOS-ba írás csak a megfelelő típusú alaplapokon és a megfelelő kapcsoló engedélyezése esetén lehetséges. Ez a kapcsoló általában csak olvashatóra van állítva, de ez nem igaz minden számítógépgyártóra.

Sajnos egyes modern alaplapokon a Flash BIOS nem védhető kapcsolóval: van, amelyik a kapcsoló bármely állásában lehetővé teszi a Flash-re való írást, másokon a Flash írásvédelme programozottan törölhető.

A flash memória törlése után a vírus újabb pusztító eljárásra tért át: az összes telepített merevlemezen megsemmisítette az információkat. Ugyanakkor megkerülte a BIOS-ba épített szabványos vírusvédelmet a rendszerindító szektorokba való írás ellen.

A vírusnak három fő (úgynevezett szabadalmaztatott) változata létezik. Meglehetősen hasonlóak egymáshoz, és csak a kód apró részleteiben különböznek a különböző rutinokban. A vírus verziói különböző hosszúságú, soros szövegeket és a lemeztörlési eljárás és a Flash BIOS működési dátumát kapták.

Mindegyik körülbelül 1 kilobájt méretű. Az első két verzió április 26-án, a harmadik minden hónap 26-án működött.

Mi történt ezután?

A vírus szerzője nemcsak kiadta a vírusokat, hanem kiküldte a vírus eredeti összeállítási kódjait is. Ez oda vezetett, hogy ezeket a szövegeket kijavították, összeállították, és hamarosan megjelentek a vírus olyan módosításai, amelyek különböző hosszúságúak voltak, de funkcionalitásukat tekintve mindegyik megfelelt a „szülőjének”.

A vírus egyes változataiban megváltoztatták a „bomba” működési dátumát, vagy ezt a részt egyáltalán nem használták (azonnali működés). Hiszen ahhoz, hogy egy adott napra beállítsunk egy „bomba” időzítőt, elég csak két bájtot módosítani a víruskódban.

Más néven "Csernobil". Resident vírus, csak Windows95/98 alatt működik, és PE ​​fájlokat fertőz meg
(Hordozható végrehajtható). Hossza meglehetősen rövid - körülbelül 1 Kb. Volt
„élve” fedezték fel Tajvanon 1998 júniusában – a vírus szerzője megfertőződött
számítógépek azon a helyi egyetemen, ahol ő (a vírus szerzője) akkoriban tartózkodott
képzett volt. Egy idő után a fertőzött fájlok (véletlenül?)
elküldték a helyi internetes konferenciákra, és a vírus kijutott belőle
Tajvan: a következő héten vírusjárványokat regisztráltak
Ausztria, Ausztrália, Izrael és Nagy-Britannia. A vírust ekkor fedezték fel
számos más ország, köztük Oroszország.

Körülbelül egy hónappal később többen is találtak fertőzött fájlokat
Játékprogramokat terjesztő amerikai webszerverek. Ezt a tényt
Nyilvánvalóan ez volt az oka a későbbi globális vírusjárványnak. 26
1999 áprilisa (kb. egy évvel a vírus megjelenése után) működött
kódjába ágyazott "logikai bomba". Különféle becslések szerint ezen a napon
szerte a világon körülbelül félmillió számítógép érintett – volt
A merevlemezen lévő adatok megsemmisültek, és egy részük meg is sérült
az alaplapokon lévő BIOS chipek tartalma. Ez az eset valóra vált
számítógépes katasztrófa - vírusjárványok és azok következményei még soha nem voltak tapasztalhatók
Ráadásul nem voltak olyan nagyszabásúak, és nem hoztak ekkora veszteséget.

Nyilvánvalóan azon okok miatt, hogy 1) a vírus valós veszélyt jelentett a számítógépekre
az egész világon és 2) a vírus működésének időpontja (április 26.) egybeesik
baleset a csernobili atomerőműben, a vírus megkapta a másodikat
név - "Csernobil"

A vírus szerzője nagy valószínűséggel semmilyen módon nem kapcsolta össze a csernobili tragédiát
vírusával, és április 26-ra tűzte ki a „bomba” felrobbanásának dátumát.
egy másik ok: 1998. április 26-án adta ki az első verziót
vírusának (amely egyébként soha nem hagyta el Tajvant) - 26
Áprilisban a CIH vírus is hasonló módon ünnepli „születésnapját”.

Hogyan működik a vírus

Amikor egy fertőzött fájlt futtat, a vírus telepíti a kódját a Windows memóriájába,
elfogja a fájlkéréseket és ír a fájlba a PE EXE fájlok megnyitásakor
nekik a te példányod. Hibákat tartalmaz, és bizonyos esetekben lefagy a rendszer
fertőzött fájlok futtatásakor. Az aktuális dátumtól függően törli a Flasht
BIOS és lemez tartalma.

A Flash BIOS-ba írás csak a megfelelő típusú alaplapokon lehetséges.
táblák és amikor a megfelelő kapcsoló engedélyezve van. Ez
A kapcsoló általában csak olvashatóra van állítva, azonban ez
Ez nem minden számítógépgyártóra igaz. Sajnos Flash BIOS
előfordulhat, hogy egyes modern alaplapok nem védettek
kapcsoló: némelyikük bármilyen pozícióban lehetővé teszi a Flash-felvételt
kapcsoló másokon, a Flash írásvédelme programozottan felülírható.

A Flash memória sikeres törlése után a vírus átkerül egy másikra
destruktív eljárás: törli az összes telepített információt
merevlemezek. Ebben az esetben a vírus közvetlen hozzáférést használ a lemezen lévő adatokhoz és
ezzel megkerülve a BIOS-ba épített szabványos vírusvédelmet
rendszerindító szektorokba ír.

A vírusnak három fő („szerzői”) változata létezik. Eléggé hasonlóak
egymást, és csak kisebb kódrészletekben különböznek egymástól
szubrutinok A vírus verziói eltérő hosszúságúak, szövegsorosak és dátummal rendelkeznek
a lemeztörlési eljárás és a Flash BIOS elindítása:

Szöveg hosszának aktiválási dátuma „élőben” észlelve
1003 CIH 1.2 TTIT április 26. Igen
1010 CIH 1.3 TTIT április 26. sz
1019 CIH 1.4 TATUNG 26 minden hónap Igen – sok országban

Műszaki részletek

Fájlok megfertőzésekor a vírus „lyukakat” (fel nem használt adatok blokkjait) keres bennük, és
beírja beléjük a kódját. Az ilyen „lyukak” jelenléte a szerkezetnek köszönhető
PE fájlok: az egyes szakaszok pozíciója a fájlban egy bizonyoshoz igazodik
a PE fejlécben megadott érték, és a legtöbb esetben a vége között
az előző szakasz és a következő eleje bizonyos számú bájttal rendelkezik,
amelyeket a program nem használ. A vírus megkeresi a fájlban az ilyen nem használtakat
blokkolja, beírja beléjük a kódját és megnöveli a kívánt értékkel
módosított szakaszméret. A fertőzött fájlok mérete nem növekszik.

Ha van egy megfelelő méretű "lyuk" bármely szakasz végén,
a vírus egy blokkban írja bele a kódját. Ha nincs ilyen „lyuk”,
a vírus blokkokra bontja a kódját, és különféle szakaszok végére írja azokat
fájlt. Így a fertőzött fájlok víruskódja észlelhető
egyetlen kódblokkként és több nem kapcsolódó blokkként is.

A vírus a PE fejlécben is keres egy nem használt adatblokkot. Ha a végén
fejlécben van egy legalább 184 bájt méretű „lyuk”, a vírus ráír
az indítási eljárást. A vírus ezután megváltoztatja a fájl kezdőcímét:
beírja az indítási eljárásának címét. Ennek a megközelítésnek az eredményeként
a fájlstruktúra meglehetősen nem szabványossá válik: a kezdés címe
A program eljárások nem a fájl bármely szakaszára mutatnak, hanem azon túlra
betöltött modul - a fájl fejlécében. A Windows95 azonban nem fizet
figyelni az ilyen „furcsa” fájlokra, betölti a fájl fejlécét a memóriába, majd
minden szakaszt és átadja a vezérlést a fejlécben megadott címre - a
vírusindítási eljárás a PE fejlécben.

Miután megkapta az irányítást, a vírusindítási eljárás lefoglal egy memóriablokkot
A VMM meghívja a PageAllocate programot, oda másolja a kódját, majd meghatározza a címeket
a fennmaradó víruskód blokkokat (a szakaszok végén található), és hozzáfűzi azokat
az indítási eljárás kódjához. A vírus ekkor elkapja az IFS API-t és
visszaadja a vezérlést a gazdagépnek.

Az operációs rendszer szempontjából ez az eljárás a legérdekesebb
vírus: miután a vírus átmásolta a kódját egy új memóriablokkba és
ott átadta az irányítást, a víruskód Ring0 alkalmazásként fut le, és
a vírus képes elkapni az AFS API-t (programoknál ez lehetetlen
a Ring3-ban végrehajtva).

Az IFS API elfogó csak egy funkciót kezel - a fájlok megnyitását.
Ha egy EXE kiterjesztésű fájlt nyit meg, a vírus ellenőrzi annak belső tartalmát
formátumban, és beírja a kódját a fájlba. A fertőzés után a vírus ellenőrzi
rendszerdátumot, és meghívja a Flash BIOS és a lemezszektorok törlésének eljárását (lásd fent).

A Flash BIOS törlésekor a vírus a megfelelő portokat használja
olvasás/írás, lemezszektorok törlésekor a vírus meghívja a VxD függvényt
közvetlen hozzáférés a lemezekhez IOS_SendCommand.

Ismert vírusváltozatok

A vírus szerzője nemcsak a fertőzött fájlok másolatait bocsátotta a vadonba, hanem azt is
kiküldte a vírus eredeti assembler szövegeit. Ez vezetett ezekhez
a szövegeket kijavították, összeállították és hamarosan megjelentek
a vírus különböző hosszúságú módosításai, de a funkcionalitás szempontjából igen
mindegyik a „szülőjének” felelt meg. A vírus egyes változataiban volt
a „bomba” művelet dátuma megváltozott, vagy ezt a szakaszt egyáltalán nem hívták.

Ismeretesek a vírus „eredeti” változatai is, amelyek napközben működnek
eltér [április 26-tól]. Ezt a tényt az magyarázza, hogy a dátum ellenőrzése
A víruskód két konstans szerint fordul elő. Természetesen annak érdekében
állítson be egy „bomba” időzítőt bármely adott napra, csak változtassa meg
két bájt a víruskódban.

CIH, vagy "Csernobil"(Virus.Win9x.CIH) egy számítógépes vírus, amelyet Chen Ying Hao tajvani diák írt 1998 júniusában. Ez egy állandó vírus, amely csak Windows 95/98 operációs rendszer alatt fut.

Történet

1999. április 26-án, a csernobili baleset évfordulóján a vírus aktivizálódott, és megsemmisítette a fertőzött számítógépek merevlemezein lévő adatokat. Egyes számítógépeken a BIOS chipek tartalma megsérült. A vírus aktiválódásának és a csernobili baleset időpontjának egybeesése adta a vírus második „Csernobil” nevét, amely még a „CIH”-nál is népszerűbb az emberek körében.

Különböző becslések szerint a világon mintegy félmillió személyi számítógépet érintett a vírus.

A The Register szerint 2000. szeptember 20-án a tajvani hatóságok letartóztatták a híres számítógépes vírus megalkotóját.

Név

A CIH vírus a "Csernobil" nevet kapta. A név eredetének két lehetséges változata van:

1. A vírus számos számítógépben okozott jelentős károkat világszerte.
2. A szerző által elhelyezett „logikai bomba” működési időpontja egybeesik a csernobili atomerőműben történt április 26-i balesettel.

Terítés

Az első működő vírust 1998 júniusában fedezték fel Tajvanon a vírussal fertőzött számítógépek szerzője az egyetemén. A következő héten vírusjárványokat regisztráltak Ausztriában, Ausztráliában, Izraelben és az Egyesült Királyságban. A vírus nyomait később több más országban, köztük Oroszországban is megtalálták. A számítógépes játékokat terjesztő több amerikai webszerver megfertőződése globális vírusjárványt okozott, amely 1999. április 26-án kezdődött. Félmillió számítógépen „logikai bombát” robbantottak ki, amely megsemmisítette a merevlemezeken lévő információkat és megsértette a BIOS-chipeken lévő adatokat.

Működési elvek

Amikor egy fertőzött fájl elindul, a vírus beírja a kódját a Windows memóriájába, elfogja az EXE fájlok indítását, és rosszindulatú kódot ír beléjük. Az aktuális dátumtól függően a vírus károsíthatja a Flash BIOS-on és a számítógép merevlemezein lévő adatokat.

A vírus szerzője

Chen Ing Hau, született 1975. augusztus 25-én, Tajvanon.
Chen CIH-t írt, miközben a Tatung Egyetemen tanult Tajpejben. Amikor létrehozta a vírust, komoly megrovást kapott az egyetemtől.
Amikor megtudta, hogy a vírus széles körben elterjedt, ideges lett. Néhány osztálytársa határozottan azt tanácsolta neki, hogy ne ismerje el a vírus létrehozását, de ő maga bízott benne, hogy ha elegendő idő áll rendelkezésre, a biztonsági szakértők képesek lesznek rájönni. Ezért még az egyetem elvégzése előtt hivatalos bocsánatkérést írt az interneten, amelyben nyilvánosan bocsánatot kért Kína azon lakosságától, akiknek számítógépe megsérült. Katonai szolgálata miatt Chen szolgálatra ment. Az akkori tajvani törvények szerint semmilyen törvényt nem szegett meg, és soha nem vonták felelősségre a vírus létrehozásáért.
Chen jelenleg a Gigabyte-nál dolgozik.

Tények

• A "Csernobil" csak Windows95/98 alatt működik.
• A vírus meglehetősen kicsi, körülbelül 1 kB.
• A vírus szerzője kiküldte a vírus forráskódját is.
• 2006 májusában Szergej Kazacskovot, az egyik voronyezsi műszaki egyetem hallgatóját az Orosz Föderáció Büntetőtörvénykönyvének 273. cikke alapján 2 év felfüggesztett börtönbüntetésre ítélték számítógépes vírusok, köztük a CIH internetes terjesztése miatt.

A Wikipédiáról másolva és kissé szerkesztve