DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Virus.Win9x.CIH

Erkennungsdatum 11/20/2002
Kategorie Virus
Plattform Win9x
Beschreibung

Technische Details

Dies ist ein Windows 95/98-spezifischer parasitärer Virus, der Windows PE-Dateien (Portable Executable) infiziert, der etwa 1 KByte lang ist. Auch bekannt als Tschernobyl. Dieser Virus wurde im Juni 1998 in Taiwan "in der Wildnis" gefunden und von seinem Virenautor veröffentlicht, der zu dieser Zeit an einer lokalen Universität studierte. Der Virus (versehentlich?) Wurde bei einer lokalen Internetkonferenz veröffentlicht, die den Virus aus Taiwan herausbrachte. Innerhalb einer Woche wurde das Virus in Österreich, Australien, Israel und dem Vereinigten Königreich gefunden und wurde auch aus mehreren anderen Ländern gemeldet (Schweiz, Schweden, USA, Russland, Chile usw.).

In etwa einem Monat wurden die infizierten Dateien versehentlich auf mehrere Websites in den USA (Spielesoftware-Vertriebswebsites) gesetzt, die eine globale Virusepidemie verursachten. Ungefähr ein Jahr nach dem Erscheinen des Virus am 26. März 1999 verursachte die "Zeitbombe" im Viruscode eine Computerkatastrophe, als etwa eine halbe Million Computer durch eine Virusinfektion beschädigt wurden: Alle verloren Daten auf der Festplatte , und viele von ihnen hatten auch das Motherboard BIOS zerstört (plus Festplatte Daten beschädigt). Dieser Vorfall war bedeutsam, da bis zu diesem Zeitpunkt keine solchen globalen und schrecklichen Computervorfälle bekannt waren.

Da der Tag der "Bombenexplosion" auf den Tag der Tschernobyl-Katastrophe fällt, der am 26. April 1986 die Welt erschütterte, erhielt der Virus, der schon "CIH" genannt wurde, seinen zweiten Namen – "Tschernobyl".

Trotzdem hat der Virenautor seine "Bombe" nicht mit Tschernobyl verbunden (vielleicht hatte er noch nie von Tschernobyl gehört). Es scheint, dass der "Bomben" -Tag aus einem anderen Grund ausgewählt wurde. Die erste Virusversion (die glücklicherweise Taiwan nicht verlassen hat) wurde am 26. April 1998 veröffentlicht, so dass das Virus am 26. April 1999 seinen "Geburtstag" feierte.

Wie funktioniert das Virus?

Der Virus installiert sich selbst im Windows-Speicher, führt Dateizugriffsaufrufe durch und infiziert EXE-Dateien, die geöffnet werden. Abhängig vom Systemdatum (siehe unten) startet der Virus seine Triggerroutine. Der Virus weist Fehler auf und hält den Computer in manchen Fällen an, wenn eine infizierte Anwendung ausgeführt wird.

Die Auslöserroutine des Virus arbeitet mit Flash-BIOS-Ports und versucht Flash-Speicher mit "Müll" zu überschreiben. Dies ist nur möglich, wenn das Motherboard und der Chipsatz das Schreiben in den Flash-Speicher erlauben. Normalerweise kann das Schreiben in den Flash-Speicher durch einen DIP-Schalter deaktiviert werden, dies hängt jedoch vom Design des Motherboards ab. Leider gibt es moderne Motherboards, die nicht durch einen DIP-Schalter geschützt werden können – auch einige von ihnen achten nicht auf die Schalterstellung und dieser Schutz hat keinerlei Auswirkungen. Einige andere Motherboard-Designs bieten einen schriftlichen Schutz, der durch Software deaktiviert / außer Kraft gesetzt werden kann.

Die Triggerroutine überschreibt dann Daten auf allen installierten Festplattenlaufwerken. Der Virus verwendet Direct Disk Write-Aufrufe, um dies zu erreichen, und umgeht den Standard-BIOS-Virenschutz beim Überschreiben der MBR- und Boot-Sektoren.

Es sind drei "Original" -Virus-Versionen bekannt, die sehr eng verwandt sind und sich nur in wenigen Teilen ihres Codes unterscheiden. Sie haben unterschiedliche Längen, Texte im Viruscode und Auslöserdatum:

Länge Text Auslöserdatum In-The-Wild gefunden

1003 CIH 1.2 TTIT am 26. April JA

1010 CIH 1.3 TTIT am 26. April NO

1019 CIH 1.4 TATUNG am 26. eines jeden Monats JA – viele Berichte

Technische Details

Beim Infizieren einer Datei sucht der Virus im Dateikörper nach "Höhlen". Diese Höhlen sind ein Ergebnis der PE-Dateistruktur: Alle Dateiabschnitte werden durch einen Wert ausgerichtet, der im Header der PE-Datei definiert ist, und es gibt nicht verwendete Blöcke von Dateidaten zwischen dem Ende des vorherigen Abschnitts und dem nächsten. Der Virus sucht nach diesen Höhlen und schreibt seinen Code in sie. Der Virus erhöht dann die Größe der Abschnitte um die erforderlichen Werte. Daher wird die Dateilänge beim Infizieren nicht erhöht.

Wenn es eine Höhle von ausreichender Größe gibt, speichert der Virus seinen Code in einem Abschnitt. Andernfalls teilt es seinen Code in mehrere Teile und speichert sie am Ende mehrerer Abschnitte. Daher kann der Viruscode als Teilmenge und nicht als einzelner Block in infizierten Dateien gefunden werden.

Der Virus sucht auch im PE-Header nach einer Höhle. Wenn ein nicht verwendeter Block mit einer Länge von mindestens 184 Byte vorhanden ist, schreibt der Virus seine Startroutine dorthin. Der Virus patcht dann die Eingangsadresse im PE-Header mit einem Wert, der auf die Startroutine im Header verweist. Dies ist der gleiche Trick, der im "Win95.Murkry" -Virus verwendet wurde: Die Adresse des Programmeintrittspunkts bezieht sich nicht auf einen Dateiabschnitt , sondern auf den Dateiheader – aus einer ladbaren Datei. Trotzdem werden infizierte Programme ohne Probleme ausgeführt – Windows kümmert sich nicht um solche "seltsamen" Dateien, lädt den Dateiheader in den Speicher, fügt dann Dateiabschnitte hinzu und übergibt dann die Kontrolle an die Virenstartsoutine im PE-Header.

Wenn die Virenstartroutine die Kontrolle übernimmt, weist sie mithilfe des Aufrufs von PageAlloce VMM einen Speicherblock zu, kopiert sich selbst dorthin, sucht nach anderen Blöcken von Viruscode und kopiert sie auch in den zugewiesenen Speicherblock. Der Virus hakt dann die IFS-API des Systems und gibt die Kontrolle an das Host-Programm zurück.

Das Interessanteste in diesem Teil des Viruscodes ist, dass der Virus ziemlich komplexe Tricks verwendet, um von Ring3 zu Ring0 zu springen: Wenn der Virus in neu zugewiesenen Speicher springt, wird sein Code dann als Ring0-Routine ausgeführt, und der Virus ist dazu in der Lage Haken Sie die Dateisystemaufrufe an (dies ist in Ring3 nicht möglich, wo alle Benutzeranwendungen ausgeführt werden).

Der IFS-API-Virus-Handler fängt nur eine Funktion ab – das Öffnen von Dateien. Wenn PE.EXE-Dateien geöffnet werden, infiziert das Virus sie, vorausgesetzt, es gibt Höhlen von ausreichender Größe. Nach der Infektion überprüft der Virus das Dateidatum und ruft die Triggerroutine auf (siehe oben).

Während der Ausführung der Trigger-Routine verwendet der Virus direkten Zugriff auf Flash-BIOS-Ports und direkte VxD-Festplattenzugriffsaufrufe (IOS_SendCommand).

Andere bekannte Virusversionen

Der ursprüngliche Virenautor veröffentlichte nicht nur den Viruscode in betroffenen EXE-Dateien, sondern auch einen Virusquellen- (Assembler-) Code. Diese Quelltexte wurden gepatcht, neu kompiliert und neue Virusversionen wurden deshalb gefunden. Die meisten dieser Versionen sind fehlerbehaftet und können nicht repliziert werden, andere können dies jedoch. Sie alle sind den ursprünglichen Viren sehr verschlossen, aber es gibt einige Unterschiede. Der Hauptunterschied ist, dass sich das "Bomben" -Datum geändert hat, und neue Varianten des Virus entweder Daten löschen und Flash-BIOS an anderen Tagen, oder diese Routine wird nie aufgerufen.

Es gibt auch "originale" Versionen des Virus gepatcht, so dass sie andere "Bomben" Tage haben. Der Grund dafür ist eigentlich witzig: Der Virus überprüft das Auslösedatum, indem er die aktuelle Tag- und Monatszahl mit zwei Konstanten (zwei Bytes) vergleicht. Durch das Patchen dieser Konstanten ist es möglich, jeden Tag auszuwählen, an dem der Virus Computer zerstört.


Link zum Original