CIH病毒及其防治 计算机病毒的危害自不待言，Internet的发展更是为病毒的快速传播插上了翅膀。1998年出现的CIH病毒，更是令所有和计算机打交道的人胆战心惊，因为它发作时，不但会破坏硬盘，而且会导致主板损坏——这意味着您只能购买新的机器或者更换主板了！ CIH病毒是迄今为止发现的最阴险的病毒之一，它发作时不仅破坏硬盘的引导区和分区表，而且破坏计算机系统Flash BIOS芯片中的系统程序，导致主板损坏。CIH病毒是发现的首例直接破坏计算机系统硬件的病毒。 该病毒的特点是只感染32位的Windows 95/98可执行文件，对于DOS、Windows 3.x以及NT下的文件不影响（因为CIH病毒使用的是VxD技术），而且被CIH病毒感染了的文件其长度不会改变，所以很难发现。当一个感染了该病毒的程序运行时，病毒就可以进入内存并驻留。
CIH病毒感染文件的方法是：当它在内存中发现有新的可执行文件在运行时，就去检查该文件中是否包含某一特定的字符串，如果没有找到就开始感染。它传染时首先检测文件的头部，当发现至少有184个字节的空间时，就将本身的引导信息写入此空间，病毒中所含的其余代码部分则分别写入文件内部的空闲区域，所以感染后的文件不会增加长度。CIH病毒本身的长度约为1KB左右。
CIH 1.2版的发作日期是每年的4月26日；CIH 1.3版的发作日期是每年的6月26日；CIH 1.4版的发作日期则是每月的26日！(有些变种是在27或28日发作)。所以在每月的26日之前，请务必备份您的重要数据。
这里所说的发作日是指病毒损坏硬盘和主板的日期。实际上，CIH病毒的复制是任何时候都可以进行的——只要它隐藏在内存中。
如果您在某月的26日开机时，屏幕出现的提示是：“Disk Boot Failure, Insert System Disk And Press Enter”，然后您可能会插入系统软盘启动机器，但当需要转到硬盘提示符时，却得到“Invalid Drive Specification”的信息，就表明硬盘的主引导区已经被改写了，这极有可能就是CIH病毒已经成功地攻击了您的系统。
CIH病毒发作时，将用凌乱的信息覆盖硬盘主引导区和系统Boot区，改写硬盘数据，破坏Flash BIOS，用随机数填充Flash内存，导致机器无法运行。CIH病毒对Flash BIOS的操作，仅在主板和芯片允许写Flash内存时才有可能。通常用DIP开关写Flash内存时无效，但是现在大多数主板不能通过DIP开关进行Flash内存写保护（即通常所说的主板可以跳线），所以该病毒发作时会破坏大多数可升级主板的Flash BIOS。
一旦您的系统不幸遇到了这样的情况，除了硬盘中的数据将丢失外，很有可能您的主板也已经报废，您只能更换主板或者请专业人士重新填写Flash BIOS信息。
CIH病毒在我国流行后，引起了广大计算机用户的关注，各反病毒厂商尽显才华，声称自己的杀病毒软件能杀CIH病毒，但实际上，在查杀过程中发现了各种杀毒软件查杀CIH病毒的效果是不一样的。下面谈谈KV300是怎样彻底查杀CIH病毒的。
CIH病毒有多个变种，只感染Windows 95、Windows 98的EXE的PE格式文件，病毒代码分解为一个或多个不同大小的碎块，潜伏在文件内部的不同地方，文件总长度无变化。
PE文件格式是32位的，文件头标存放了文件各模块参数。CIH病毒修改了这些32位参数，并使其文件映像执行参数首先指向病毒的程序体。杀毒时，根据这些参数，找出病毒躲藏的每个位置，再杀掉病毒，并恢复原文件参数。
CIH病毒僵尸、尸体、残余代码是怎样产生的?有破坏性吗?
杀CIH病毒除需要对Windows底层技术有所了解外，又需要对Windows的PE格式文件有透彻的了解。如不了解，查杀这种病毒也可采取投机行为，有些杀毒软件仅仅修改一个病毒映像开始执行的参数，和少量的去掉了病毒头的部分字节，但这样简单地被杀毒后的文件中会有病毒僵尸，容易引起问题，因此应彻底杀净病毒，否则，杀不好，就会把文件杀坏。
CIH病毒短小精悍，但传染后难免有各种各样的BUG，再加上Windows系统的运行设置条件和被传染的文件头标数据模块的大小不一样，被CIH病毒感染后，小部分文件会产生各种各样的不正常和特殊传染结果，有如下几种不正常情况：
●文件中的病毒体前部，执行文件在被执行中又被自身文件动态的覆盖上了一小部分代码。但文件映像执行参数首先还指向病毒的程序体，病毒有可能还会再被执行或残缺被执行，也有可能被执行到发作破坏指令部分，也有文件可能坏掉了，不能再执行了。这也会造成某些查毒软件对此漏查。
●某些文件中的病毒体，因为文件头标格式特殊，CIH病毒躲藏在文件的后部，某些查毒软件也漏查漏杀。
●某些文件中的病毒体，残缺了一部分传染在文件内。
●某些杀毒软件，没认真彻底研究透32位的PE文件格式，只查杀出大多数PE文件头标在文件前部而潜藏的CIH病毒，因而漏查了许多PE文件头标在文件深部而感染的CIH病毒，这非常危险。
●有些杀毒软件，只简单的把感染文件中的CIH病毒第一碎块中的文件映像开始执行指针参数恢复，没把病毒藏在文件体内的各个碎块清理掉。还有些杀毒软件，只简单的把病毒第一碎块中的文件映像开始执行指针参数恢复，再去掉病毒第一碎块中的部分字节。
上述做法都使病毒体完整的或不完整的还留在文件内。
对上述现象，用户可用XE或NU等工具即可搜索到文件中病毒体内的“CIH”字样，也可以在文件中搜索出病毒体内十分危险的破坏条件的代码。
CIH病毒1.4版破坏条件的代码：C3 B0 07 E6 70 E4 71 34
CIH病毒1.2、1.3版破坏条件的代码：B8 08 07 E6 70 E4 71 86 E0 E6 70 E4 71
以上所述的是CIH病毒僵尸、尸体、残余代码产生的原因，但是由于有破坏的代码存在，危险就存在。
为什么KV300能查杀出一些漏网的CIH病毒?
KV300其独有的两套查毒方案，对付许多个变种的CIH病毒效果十分明显。
KV300第一套常规查毒方法是：按文件头标的映像，算出病毒各碎块的潜藏位置和长度，并清除病毒各碎块，再恢复文件原参数。其功能键是KV300的F2和F3。
KV300第二套查毒方法是：广谱过滤法查毒。不管CIH病毒有多少个变种，都可以将病毒代码过滤出来。广谱过滤法查毒的功能键是KV300的F1和F4。
KV系列的用户，只要自我扩充下列广谱病毒特征码，就可立即查找“CIH”病毒。
“8D 44 ％％ 64 87 ％％ 8D 4B ％％ 0F 01 4C ?? 5B 83 C3” Found CIH Virus!
“87 D5 EE C3 ?? 3A 66 27 53” Found CIH Virus!
因KV300有上述两套查毒方案，所以查CIH病毒更加安全可靠，不管以后CIH病毒怎样变种，很难逃脱。
对漏掉的病毒，再用KV300第一种方法即可查出杀掉。
对某些软件杀的不完整的病毒，有些可用KV300协助再次查杀干净，还有一些，KV300的第二套广谱查毒功能可以查出，但是只给予警告，不好再杀，用户可用好文件替换或删除的做法。也有用某些杀毒软件杀毒后，留下了病毒的发作模块和破坏模块，再用这些软件查毒，就自认为没病毒了，一不小心，将这样的带有病毒体的文件也留下了。再用别的查毒软件查毒时，因取病毒的代码位置不一样，可能再查时就又报有CIH病毒。所以也不要用一些劣质杀毒软件杀毒，免得自己欺骗自己。如有的杀毒软件杀CIH病毒后就在文件中留下了大部分病毒体。用户一定要用能将CIH病毒彻底清除的杀毒软件，而不能用漏查漏杀CIH病毒的软件，否则，后果严重。
目前，CIH病毒流行很广，许多盗版光盘上都有，还有许多变种，发作时间不一样，靠跳过时间的做法不可取，应用可靠的杀毒软件经常检查。
(李 文）