Вирус CIH.win9x с исходниками

День CIH.win9x

Завтра в истории компьютерной безопасности крайне знаменательный день. 26 апреля 1999 года был впервые активирован первый в своем роде вирус. Огромное количество компьютеров подверглось уничтожению данных в BIOS. Не исключаю вероятности, что это может произойти и завтра, если остались еще компьютеры, на которых будет работать вредоносный код.
CIH был написан тайваньским студентом Чэнем Ин Хао в июне 1998 года. И менее чем через год вирус уже проявил себя тем, что вывел из строя порядка пятисот тысяч компьютеров.

Впервые вирус действовал таким образом, что приводил к полной неработоспособности компьютеров. Механизм действия вируса был не сложен: после попадания на компьютер, с установленной на нем Windows 95/98, он внедрял свой код в механизм системы по работе с файлами. Далее при открытии PE файлов тело вируса встраивалось в его неиспользуемые блоки. Таким образом, размер зараженного файла не изменялся. Если же места не хватало, то тело вируса дробилось.

Несмотря на то, что Чэн Ин Хао по сути являлся преступником, он не только не получил за это наказания сразу, а еще и получил работу. Но справедливость восторжествовала, и Чэн Ин Хао в сентябре 2000 был арестован и осужден за ущерб, нанесенный его вирусом CIH. С 2006 года Чэн работает инженером в Gigabyte Technology.

Но не все так плохо в этой истории. Вирус впервые указал на открытые проблемы в безопасности компьютерных систем в целом. Стоит помнить этот случай лишь для того, чтобы в будущем избежать подобных недостатков при проектировании различных систем и методов обеспечения их безопасности. 

Именно совпадение даты активации вируса и даты аварии на ЧАЭС дали вирусу второе название — «Чернобыль», которое в народе даже более известно, чем «CIH».»

Здесь вы можете скачать исходник вируса и минимальный набор файлов Turbo Assembler 5.0. Чтобы создать вирус, запустите файл compil.bat. Проверте свой антивирус на герое прошлого века!

исходник Win9x CIH.

Как я понял, вирусу для распространения и работы нужно залезть в 0-е кольцо привилегий процессора, в котором работает ядро системы и драйвера. Только из 0-го кольца можно напрямую работать с железом, минуя сервисы ОС. Но тот способ, что реализван в вирусе, сработает только в windows 95/98. В системах NT он «сломает себе зубы» — не сможет залезть в память и начать заражать исполняемые файлы, не говоря уже о вредных дейстивиях.