[病毒：分享]CIH的发作现象、破坏性及其如何判断是否中毒

hfng

发作现象：
　　
　　1.攻击BIOS：CIH病毒最异乎寻常之处，是它对计算机BIOS的攻击。打开计算机时，BIOS首先取得系统的控制权，它从CMOS中读取系统设置参数，初始化并协调有关系统设备的数据流。CIH发作时，会试图向BIOS中写入垃圾信息，BIOS中的内容会被彻底洗去，造成计算机无法启动，只有更换主板或BIOS。据测试发现CIH能够破坏市面上常见的数十种BIOS。从这个角度上看，CIH病毒是首例直接攻击和破坏计算机硬件系统的病毒，会给众多的计算机用户带来摧毁性的结局。
　　
　　2.覆盖硬盘：向硬盘写入垃圾内容也是CIH的破坏性之一。CIH发作时，调用BIOS SendComma nd直接对硬盘进行存取，将垃圾代码以2048个扇区为单位循环写入硬盘，直到所有硬盘(含逻辑盘)的数据均被破坏为止。
　　
　　有一点需广大用户注意，千万不要因为自己的计算机主板上面有BIOS写入/防写入跳线，就认为CIH病毒奈何不得自己的计算机，许多主板上的BIOS写入/防写入跳线即使设置为防写入状态，BIOS依然会被改写，原因是部分BIOS芯片无需提高电压即可写入。
　　
　 CIH病毒发作时所产生的破坏性：
　　
　　CIH属恶性病毒，当其发作条件成熟时，其将破坏硬盘数据，同时有可能破坏BIOS程序，其发作特征是：
　　
　　1、以2048个扇区为单位，从硬盘主引导区开始依次往硬盘中写入垃圾数据，直到硬盘数据被全部破坏为止。最坏的情况下硬盘所有数据(含全部逻辑盘数据)均被破坏，如果重要信息没有备份，那就只有哭了！
　　
　　2、某些主板上的Flash Rom中的BIOS信息将被清除。
　　
　　判断中毒与否的方法：

　　有三种比较简单的方法可以判断是否已经感染上了CIH病毒：
　　
　　1、一般来讲，CIH病毒只感染EXE可执行文件，我们可以用Ultra EditText Editor 软件打开记事本或写字板， 或者其他常用EXE文件，然后按下“切换16进制模式按钮（H）”，再查找“CI?Hv1．”，如果发现“CIH v1．2”， “CIH v1．3”或“CIH v1．4”的字符串，则说明已经被感染上CIH病毒了。
　　
　　2、感染到CIH v1．2版，则所有WinZip自解压文件均无法自动解开，同时会出现WinZip自解压首部中断。可能原因：磁盘或文件传输错误。这个信息。感染到CI?Hv1．3版则部分WinZip自解压文件无法自动解开。 有的还会造成MAGICZIP不能安装，如果遇到以上情况，有可能就是感染上CIH病毒了。
　　
　　3、CIH病毒会造成Win 95的死机。原因是病毒代码要写到文件的头部。有时候被病毒传染的文件不能被Win 95 识别，认为是非法程序会造成Win 95的死机。当出现频繁死机的情况时，有可能就会是有CIH病毒存在了。
　　
　　另外，CIH发作时最为明显特征的便是电脑黑屏并死机。

[ Last edited by 湖俊 on 3-8-2004 at 04:30 PM ]

湖俊

这个是很久以前的病毒了。。

hfng

哦
那么需要删除吗？

湖俊

留着，让大家参考。

FTO_2004

请问中招的话，该如何应付呢？

jasonmun

FTO_2004 于 27-7-2004 08:45 PM  说 :
请问中招的话，该如何应付呢？

www.symantec.com
那有得下载CIH 的移除工具..

jolinmagic

拿我的电脑时常自己restrat算是中了着病毒吗??
还是中了其他什么病毒吗??

hfng

jolinmagic 于 27-7-2004 11:33 PM  说 :
拿我的电脑时常自己restrat算是中了着病毒吗??
还是中了其他什么病毒吗??

恩 是怎么restart呢？
有没有倒数60秒啊