바이러스 프로그램 소스코드 예제 분석 - CIH 바이러스[1]

CIH 바이러스는 주로 Windows 95/98/Me의 실행 프로그램을 감염시키며, 공격을 하면 컴퓨터의 Flash BIOS 칩에 있는 시스템 프로그램을 파괴하여 마더보드를 손상시키고 하드 디스크의 데이터를 파괴합니다. 바이러스가 공격하면 하드 드라이브가 계속 회전합니다. 바이러스 프로그램은 하드 드라이브의 기본 부팅 영역부터 시작하여 모든 하드 드라이브 데이터가 파괴될 때까지 2048 섹터 단위로 하드 드라이브에 정크 데이터를 씁니다. 하드 디스크의 모든 데이터(파티션 테이블 포함)는 파기되므로 하드 디스크를 저장하려면 다시 파티션을 나누어야 합니다. 동시에 Gigabyte 및 MSI와 같은 일부 브랜드의 마더보드는 플래시 BIOS에서 시스템 프로그램을 파괴하여 부팅 후 시스템이 응답하지 않게 됩니다.
CIH 바이러스는 1998년 8월 대만에서 중국으로 유입되었습니다. 총 5가지 버전이 있으며 시간이 지남에 따라 다양한 버전이 개발되었으며 개발 과정은 다음과 같습니다.

(1) CIH 바이러스 버전 1.0

초기 버전 1.0은 656바이트에 불과했고 프로토타입은 일반 바이러스에 비해 구조가 크게 개선되지 않은 것 같다. Microsoft Windows PE 실행 파일을 감염시키면 이에 감염된 프로그램 파일의 길이가 늘어나고 CIH 바이러스 버전 1.0은 아직 파괴적이지 않습니다.

(2) CIH 바이러스 버전 1.1

CIH 바이러스가 버전 1.1로 개발되었을 때, 이 버전의 CIH 바이러스는 길이가 796바이트였습니다. Windows 결정 기능 사용자가 Windows NT를 실행하고 있는 것으로 확인되면 NT 소프트웨어의 기능은 적용되지 않으며 오류 메시지 생성을 피하기 위해 스스로 숨겨집니다. 동시에 오류를 줄이기 위해 더욱 최적화된 코드가 사용됩니다. 길이.

버전 1.1 CIH 바이러스의 또 다른 개선점은 Windows PE 클래스 실행 파일의 "공백"을 활용하고 필요에 따라 여러 부분으로 분할하여 각각 PE 클래스 실행 파일에 삽입할 수 있다는 것입니다. 이것의 장점은 대부분의 Windows PE 파일을 감염시킬 때 파일 길이를 늘리지 않는다는 것입니다.

　 (3) CIH 바이러스 버전 1.2

CIH 바이러스는 버전 1.2로 발전하면서 버전 1.1의 일부 결함을 수정한 것 외에 새로운 내용도 추가했다. 사용자에게 피해를 주는 기능 하드디스크와 사용자 컴퓨터의 BIOS 프로그램 코드가 악성 바이러스 반열에 진입하게 되었습니다. 버전 1.2의 CIH 바이러스 본체 길이는 1003바이트입니다.

　 (4) CIH 바이러스 버전 1.3

버전 1.2 CIH 바이러스의 가장 큰 단점은 ZIP 자동 압축 풀기 패키지 파일을 감염시키면 다음과 같은 오류가 발생한다는 점입니다. ZIP 압축 패키지 자동 추출 중 다음과 같은 오류 경고 메시지가 나타납니다.

　
　　WinZip Self-Extractor header corrupt.
　　Possible cause: disk or file transfer error.

CIH 바이러스 버전 1.3은 위의 ​​결함을 개선하기 위한 것으로 보입니다. 방법은 다음과 같습니다. 열린 파일이 WinZip인 것으로 확인되면 이 유형의 자동 압축 풀기 프로그램은 감염되지 않습니다. 동시에 이번 CIH 바이러스 버전은 바이러스 공격 시간을 4월 26일에서 6월 26일로 수정했습니다. CIH 바이러스 버전 1.3의 길이는 1010바이트입니다.

(4) CIH 바이러스 버전 1.4

버전 1.4 CIH 바이러스는 이전 버전의 단점을 개선하고 ZIP 자동 압축 풀기 패키지 파일을 감염시키지 않으며, 또한 수정되었습니다. 공격 날짜를 6월 26일에서 매월 26일로 변경해 바이러스 공격 빈도를 높였다. 바이러스의 저작권 정보도 수정되었습니다(저작권 정보는 "CIH v1.4 TATUNG"으로 변경되었으며 이전 버전의 관련 정보는 "CIH v1.x TTIT"였습니다), CIH 버전 1.4 바이러스의 길이 1019바이트입니다.

앞서 언급한 바와 같이 CIH 바이러스는 바이러스 역사상 여러 가지 최초의 바이러스를 만들어냈으며 매우 파괴적입니다. 바이러스의 발발은 전 세계에 헤아릴 수 없는 손실을 가져왔습니다. 그렇다면 그렇게 큰 "파괴적" 힘을 지닌 코드는 어떻게 작성됩니까? 아래에서는 CIH 바이러스 버전 1.4를 예로 들어 핵심 코드의 일부를 분석합니다.

위 내용은 바이러스 프로그램 소스코드 예제 분석-CIH 바이러스[1] 내용입니다. 더 많은 관련 내용은 PHP 중국어 홈페이지(www.php.cn)를 참고해주세요!