|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| W95/CIH. Descripción del virus y algunas herramientas | ||
|---|---|---|
VSantivirus No. 287 - Año 5 - Sábado 21 de abril de 2001 W95/CIH. Descripción del virus y algunas herramientas http://www.vsantivirus.com/cih-descr.htm Nombre: W95/CIH Tipo: Infector de ejecutables Win32 Alias: PE_CIH, CIH, Chernobyl, Win95.CIH, Win32.CIH, W95.CIH V1.2, W95.CIH V1.3, W95.CIH V1.4 Nombres comunes: CIH, Spacefiller, Chernobyl, Tsernobyl, Tshernobyl Fecha: 2/jun/98 Origen: Taiwan Plataforma: Windows 95, 98, Me Una de las peores características del CIH, es que ataca la BIOS de la computadora infectada, en el momento que el reloj de ésta coincide con el 26 de abril de cualquier año. Pero existen otras versiones, que actúan en otros momentos. Sin embargo, la que se activa el 26 de abril, es la que más daño a causado desde su descubrimiento. El virus se propaga en entornos Windows 95, 98 y ME, y no afecta a Windows NT o 2000, aunque si puede propagarse en estos sistemas. El CIH, infecta sólo archivos .EXE (PE, Portable Executable de Win32), buscando espacios vacíos en el cuerpo del archivo. Si encuentra un hueco de un tamaño suficiente, escribirá en él su código completo. Estos huecos son normales en la estructura de los archivos PE. En caso de no encontrar el espacio necesario, el virus es capaz de dividirse en varias partes, usando diferentes agujeros en el archivo, hasta completar todo el código. Luego, modificará el cabezal del archivo, para ubicar un código de unos 184 bytes, el que incluye su rutina de arranque, la que apuntará al código principal del virus. A su vez, cambia la dirección de comienzo del archivo, para que apunte a dicha rutina. Cuando se ejecuta un archivo o programa infectado, el virus se ejecuta primero y luego pasa el control al programa original. Cuando el virus tiene el control, lo aprovecha para replicarse en otro archivo, y así sucesivamente. Para infectar otros ejecutables, utiliza las funciones IFS (Installable File System) y API (Application Program Interface), para interceptar la apertura de los archivos. El virus puede saltar del ring3 (la capa de software por la que se ejecutan los programas, incluidos los propios antivirus), al ring0, el nivel más cercano al procesador, y donde se ejecuta el Kernel, el corazón de Windows. Desde allí intercepta todas las llamadas al sistema para el acceso a los archivos, realizando sus propias llamadas a los puertos del Flash BIOS y para el acceso al disco, evitando así el control de Windows. El virus intercepta solo la apertura de archivos. Cuando un .EXE es abierto por el sistema, el virus lo infecta, siempre que contenga huecos suficientes y en seguida verifica la fecha del sistema para decidir si debe activar sus rutinas destructivas. El tamaño del código del virus, es apenas mayor a 1 Kb, y como sobrescribe su código en el cuerpo de los archivos infectados, no aumenta el tamaño de estos. Cuando el archivo infectado se ejecuta, el virus se instala en memoria y se propaga a todos los demás programas. El virus posee algunos errores de programación que en ocasiones, causan bloqueos de la computadora cuando se ejecutan los programas infectados. La rutina destructiva utilizada para borrar el disco duro, sobrescribe una parte importante del disco con ceros, haciendo muy difícil su recuperación. La memoria Flash Bios es sobrescrita con código basura, lo que impide el inicio de la computadora. Daño causado por el virus Sobreescribe, rellenando con ceros, los datos guardados en el disco duro. Utiliza para ello rutinas de acceso directo. La única alternativa para recuperar la información, puede ser a través de respaldos anteriores, si se disponen de estos. Destruye tanto los datos (archivos), como el MBR (Master Boot Record) y el sector de arranque (BOOT) del sistema operativo. Prácticamente todas las variantes de este virus son capaces de borrar los primeros 2048 sectores del disco duro, lo que equivale a un mega aproximadamente. El resultado es casi similar a un formateo, y lo realiza eludiendo las protecciones antivirus del BIOS, y evitando el inicio del sistema. Como consecuencia de esto, al intentar reiniciar un sistema afectado, se despliega este mensaje:
Note que el mensaje aparece solo si la siguiente acción destructiva (sobre el BIOS), no se cumplió aún. |
||
