Вирус Win95.CIH(CNH) за 21 минуту!

leka · Post by **leka** » 27 Apr 1999 10:38

Всем привет!

Я сделал его!
В ночь с 25 на 26 апреля в 00.12 я корректно перезагрузился и все [img:3a3e7733ed]http://www.privet.com/ubb/frown.gif[/img:3a3e7733ed] бут файлуре и т.д.
26 апреля. Я узнаю об этом вирусе. Рву волосы, у меня на диске адреса, переписка (см. мой вопрос "Как быть с почтой") и т.д.
DRWEB, который лечит этот вирус, не видит диск.
Готов повеситься.
Кругом одни "доброжелатели", которые говорят о статье в "Комсомолке". Всю ночь плачу в подушку.
27 апреля. Утро. Узнаю о возможности потрять (физически) диск.
Мне уже весело. До сих пор не могу точно оценить возможный ущерб. Из новостей узнаю об остановке ряда малазийских бирж, по этому же поводу.
Иду на крайние меры, свой диск, WD 2.4 FAT16 вешаю рабом, сверху диск с Win95 мастером. Запускаю NDD32 из NU 3.07 (рус).
Нортон говорит "нет разделов", предлагает поискать.
Ищу. Нашел 3 из 4! Логический диск С пропал и увел с собой 500 мб. Остальное все в ажуре. Копирую, заново разбиваю, форматирую, опять копирую. Все ОК.
27 апреля. 12.00
Пытаюсь оценить ущерб. Бесполезно. Получаю мыло и не могу понять о чем речь [img:3a3e7733ed]http://www.privet.com/ubb/smile.gif[/img:3a3e7733ed] За прошедшее время я уже успел себя настроить, что все это ерунда, главное здоровье [img:3a3e7733ed]http://www.privet.com/ubb/smile.gif[/img:3a3e7733ed]

15.00 Пишу в "Привет" [img:3a3e7733ed]http://www.privet.com/ubb/smile.gif[/img:3a3e7733ed]
Я его сделал [img:3a3e7733ed]http://www.privet.com/ubb/smile.gif[/img:3a3e7733ed]

Выводы: почта только типа хотмайла, хранить бумарки на серверах типа "букмарк.ком", ПОЛЬЗОВАТЬСЯ АНТИВИРУСНЫМИ ПАКЕТАМИ и ГЛАВНОЕ - не торопиться и советоваться!

---------------------
ЗАО "ДиалогНаука" сообщило о том, что 26 апреля 1999 г. на многих компьютерах в России
зафиксировано срабатывание компьютерного вируса Win95.CIH, который стирает данные на
жестком диске и в некоторых случаях может привести к тому, что восстановить работоспособность
компьютера можно будет только с помощью специального оборудования или в гарантийной
мастерской. Данные на диске в большинстве случаев восстановить невозможно.

Служба технической поддержки ЗАО "ДиалогНаука" за 9 часов работы с утра 26 апреля
получила около 500 звонков и свыше 100 электронных писем из более чем 20 городов России о
случаях срабатывания вируса Win95.CIH. За последние несколько лет это самый крупный случай
срабатывания компьютерного вируса, к тому же приводящий к потере данных и временному
выводу из строя компьютеров.

При работе 26 апреля в Windows 95/98 вирус, определив, что наступило нужное число,
запускает деструктивную функцию. Эта функция:

1.пытается записать "мусор" во FLASH BIOS компьютера. Если эта операция удается, то
компьютер можно восстановить только заменой микросхемы BIOS или перепрошивкой
этой микросхемы на специальном оборудовании. К сожалению, иногда это практически
невозможно. В частности, на некоторых типах портативных компьютеров придется
менять материнскую плату, что может стоить практически столько же, сколько и новый
компьютер;
2.затирает данные на дисках, записывая в них случайный "мусор". Восстановление данных на
дисках практически невозможно. В любом случае, в результате этих операций компьютер
не грузится, и зачастую это выглядит как поломка. В службу технической поддержки
фирмы "Красная волна", занимающейся сборкой и продажей компьютеров, за 1-ю половину
дня 26 апреля 1999 г. обратились более 50 клиентов, которые были уверены, что у них
вышел из строя блок питания.

Сам вирус появился год назад на Тайване. За прошедший год он распространился по всему
миру, включая Россию. По данным ICSA (международной компьютерной ассоциации) вирус
Win95.CIH в 1998-1999 гг. уверенно входит в 10 самых распространенных вирусов в мире. Причем
из этой десятки этот вирус единственный, в который встроены серьезные деструктивные функции.
Срабатывает этот вирус один раз в год - 26 апреля. Некоторые, появившиеся позже, модификации
срабатывают 26 числа каждого месяца.

В целом вирус Win95.CIH давно известен. Антивирусные программы, включая Doctor Web от
"ДиалогНауки", давно знают и умеют лечить этот вирус. Естественно, до того, как вирус сработает и
похоронит себя вместе с другими данными. Но, как показывает произошедшее, большая часть
пользователей, не смотря на предостережения, не пользуется антивирусами. Те, кто заботится о
сохранности данных и пользуется свежими версиями антивирусных программ, защищен от таких
вирусных атак. Так, среди постоянных клиентов ДиалогНауки пострадавших не зафиксировано.

Для тех, кто хочет проверить свой компьютер и диски, "ДиалогНаука" предлагает бесплатно
получить на Интернет-серверах версию Doctor Web для Windows 95/98/NT.

Адреса серверов:
ftp.DialogNauka.ru
ftp2.DialogNauka.ru
ftp3.DialogNauka.ru
http://www.DialogNauka.ru

Удачи.

AlexR · Post by **AlexR** » 27 Apr 1999 17:51

А нечего дерьмом собачьим (Билл Гэйтовским) пользоваться. А уж если от Горячо И Многократно Любимого Мicrosoft-а никуда - то поставьте хотя бы NT. Вот у меня на работе NT, дома Linux - так я даже не знал про это. И антивирусы нафиг не нужны.

[i:52236701bb]версию Doctor Web для Windows 95/98/NT[/i:52236701bb] - вот ведь самое откровенное враньё и навязывание своего продукта. Покажите мне [b:52236701bb]хотя бы один[/b:52236701bb] вирус для NT (word macrovirus-ы не в счёт) - и я съем свою дискету ( (C) Дейкстра).

И это не то, чтобы я особенно любил NT. Наоборот - ненавижу всеми фибрами души за уродский подход и навязывание сервисов. Но тем не менее, эта система работает, чего нельзя сказать про 95/98 clone.

alexc · Post by **alexc** » 27 Apr 1999 18:01

Haчинайте есть дискету. [img:dab0a82884]http://www.privet.com/ubb/smile.gif[/img:dab0a82884]
Если очень хочется, млгу попробовать найти ( и послать если хотите [img:dab0a82884]http://www.privet.com/ubb/smile.gif[/img:dab0a82884]) ту гадость которая у нас жила под NT (если правильно помню MBR). Заражает машину с флопа. Под NT не размножается, но живет. После ближайшей перезагрузки выдает голубой экран с сообщением - отсутствует загрузочный диск.
AlexC

Shura · Post by **Shura** » 27 Apr 1999 18:22

не вижу никакой принципиальной защищенности у НТ, кроме того, что она мене распространена, поэтому и вирус на кв.см попадается там реже и уж конечно, немногие придурки станут писать под Low-level NTFS. Практически любая программа (даже старые 16 бит) работают на НТ, так что правильно написаный вирус бидет очень уютно себя чувствовать на ней.

muzhik · Post by **muzhik** » 27 Apr 1999 18:58

Шура, будет-то будет; но вот сможет ли он писать на boot? По-моему, это зависит от настроек НТ - даны 16-бит-программе такие права, или нет... Скорее можно представить вирус, занесенный через администратора-лопуха, который начинает пробивать защиту, пользуясь всей крутизной администраторских привилегий: изменяет свои привилегии на системные (например, запускает себя, как сервис или драйвер) и начинает гадить. Тоже самое - на УНИХе, там вирус должен побежать, как демон - правда, я не помню, всегда ли демоны (те же сервисы, собсь) бегут в kernel-mode, по-моему, да...

Shura · Post by **Shura** » 27 Apr 1999 19:08

Ну не обязательно ж вирусу лезть в Boot или еще куда.
А самый лёгкий способ размножаться через е-мелю - тут никакого админа не надо. Вот, например, Happy99 - очень успешно работает на НТ...

AlexR · Post by **AlexR** » 27 Apr 1999 19:33

О защищённости - от козла-администратора защиты нет. При этом нормальный admin может защитить и linux и NT. А 95/98 - никогда.

Шура - а нефиг запускать всё, что по email-у получаешь.

И вообще, господа, не путайте вирус и trojan horse. Если я вам пошлю простенький скрипт "rm -fr ~", а вы его запустите на своей unix-машине - это ещё не вирус. Хотя и потрёт вам всё нафиг.

AlexR · Post by **AlexR** » 27 Apr 1999 21:13

Так ведь им сто лет объясняли - ну запретите исполнение макросов в ворде, запретите... Меллисса-то далеко не первый макровирус.

Конечно, что они разрешены по умолчанию - дыня микрософта, так ведь не первая же. И дай бог не последняя....

Shura · Post by **Shura** » 27 Apr 1999 21:25

Вот именно! Пока есть компьютер будут и вирусы, будут и пациенты, и лекари, и прозекьюторы, и такие, как мы с вами - наблюдатели...
Можмо настроить файеруолов (о, боже, какое слово), можно запретить аттачменты (еще одно), можно бить по рукам линейкой и что?.. Хулигансво будет в любой системе! Главное, чтоб оно было менее выгодным, чем честный промысел.
Я так думаю...

muzhik · Post by **muzhik** » 28 Apr 1999 01:33

<BLOCKQUOTE>quote[quote:a93ea8c751]может защитить и linux и NT. А 95/98 - никогда[/quote:a93ea8c751]

Хммм... Это уже философский вопрос... Ну, рассматривай мастдайцев-95/98 как НТ (хе-хе) с единственным юзером-администратором. [img:a93ea8c751]http://www.privet.com/ubb/smile.gif[/img:a93ea8c751]

Кроме того, но вирус может гадить и одному-единственному юзеру - и защищенность системы тут вообще не при чем...

AlexR · Post by **AlexR** » 28 Apr 1999 02:43

Правильно, может. Только не путай терминологию - это уже не вирус а троянский конь, поскольку он не распостраняется сам (а распостраняют его только те ..., которые любят запускать пришедшие по мэйлу exe-файлы.

Shura · Post by **Shura** » 28 Apr 1999 08:00

>>Шура - а нефиг запускать всё, что по email-у получаешь<<
AlexR, правильно! Нефига вообще в Интернет ходить... Один вред!
Вы бы это тем миллионам Мелисовских погорельцев объяснили они бы сразу и поняли...

Shura · Post by **Shura** » 28 Apr 1999 18:19

Троянский конь, Тамбовский волк, какая разница...
Ни один вирус без посторонней помощи не распространяется! Включая СПИД...
А что вирус делает, как долог его инкубационный период, как он расмножается, как прячется и прочие атрибуты, включая название, - это всё важно для пациентов (ну еще и для прессы).
Не так ли?

AlexR · Post by **AlexR** » 28 Apr 1999 19:24

Шура,

[i:8e80987acc]Ни один вирус без посторонней помощи не распространяется! Включая СПИД...[/i:8e80987acc]

Нет, не правильно. То есть насчёт СПИД-а не знаю, не медик. А вот компьютерные [b:8e80987acc]вирусы[/b:8e80987acc] распостраняются и размножаются сами, без ведома носителя - по интернету ли, через мэйлы, или, как в старые времена, через дискеты с безобидными файлами. В отличие от них троянские лошади только гадят (а какая лошадь не гадит?), но [b:8e80987acc]сами[/b:8e80987acc] не распостраняются и уж тем более не размножаются.

На самом деле, в нормальной (не ДОС и не 95/98) системе вирусы тоже возможное, но [b:8e80987acc]исключительно[/b:8e80987acc] редкое явление. В случае unix-ов они базируются на известных багах в tools, которые должны иметь UID root, например sendmail. Поскольку базовый код многих unix-ов открыт для публичного обозрения, находить такие баги проще, чем в закрытых системах. Насчёт NT не знаю, не спец, но сдаётся мне, что ситуация похожа. Разве что баги обнаруживать вслепую приходится. Зато система более распостранённая.

Таким образом, IMHO, от настоящего вируса (которые очень редки), даже грамотный admin не защищён, зато admin-козёл навернёт систему за милую душу на пустом месте... А уж троянского коня подцепить - это на раз, админ тут уже не причём - соблюдайте чистоплотность компьютерных сношений. Download - только с известных сайтов, макросы в ворде - запретить, junk пришедший по мэйлу не запускать. И всё будет хорошо, как в случае того же СПИДа и презерватива - 100% гарантии нет, но 99.99% - пронесёт.

Shura · Post by **Shura** » 28 Apr 1999 21:02

AlexR,
на счёт СПИДа я объяснять не буду, но по аналогии с дискеткой можно понять, что и Троянский и НЕ Троянский, как-то всё таки должны сначала попасть на дискетку, а затем с неё соскочить в компьютер и только тогда уже нагадить. Сами? Нет!...
Отличие Троянского коня от других вирусов, только в том, что он выглядит безобидно или гадит не сразу, спит до поры до времени, т.е. ты уже и думать забыл, а он возьми да и начни [i:b951ab797b]размножаться[/i:b951ab797b] или просто воздух портить. Другими словами: и троянсий может размножаться сам и, наоборот, тот который не размношается не обязательно является конским, т.е. троянским...

Alexey_Slutzky · Post by **Alexey_Slutzky** » 29 Apr 1999 00:31

AlexR, У меня к вам вопрос.
Скажите пожалуйста, чем так принципиально отличается Unix от продукции Мелкософта, что под Юниксом всяки разны твари не живут? Я говорю не об отличиях сверху, со стороны ламер-интерфейса, а об отличиях снизу, со стороны машинных кодов процессора.
Ведь по-моему как? По-моему, если процессор исполняет последовательность команд, то всегда найдется способ эту последовательность изменить любым заранее желаемым образом. Если любая железяка имеет адрес в адресном пространстве то ничто не сможет помешать прямой записи по адресу. Защищенный режим, скажете? На ведь всегда можно испоганить кернел так, что "свои люди" запишут "куда надо".
Вы вот, я гляжу, человек технический, программист наверное (у кого ж еще дома будет Линукс стоять?). Я вот тоже люблю ассемблером прерывания ловить по выходным. Ответьте мне на мой вопрос, пожалуйста, желательно с техническими подробностями.

Да, вот еще что. Я в-основном по embedded systems. DSP, знаете ли, всякие, фильтры там, микроконтроллеры. За собственно компьютером сижу исключительно как юзер. NT, натурально, или там 95-й юзаю. Со стариной ДОСом изрядно знаком. Вот непонятно мне, ламеру дремучему, почему же Микрософт - дерьмо собачье. Я вот вроде настрою систему - и не валится она. Я вообще так заметил, что майкрософтоненавистники не могут внятно объяснить причину своей ненависти. Вы вот, вроде, человек разумный. Объясните заодно и это, плиз.

muzhik · Post by **muzhik** » 29 Apr 1999 01:28

ИМХО, есть 2 причины, по которым нет/мало вирусов под УНИХ: 1) УНИХи - разные, и нет ни одного; 2) дырку в УНИХе можно с толком использовать, а не на вирусы разбазаривать. [img:47ace4d945]http://www.privet.com/ubb/smile.gif[/img:47ace4d945]

А ненависть к Микрософту - это что-то вроде антисемитизма: все "причины" надуманные и абсолютно идиотские.

Единственная настоящая причина [img:47ace4d945]http://www.privet.com/ubb/smile.gif[/img:47ace4d945] в том, что Мелкие продают свою пре-бету, если можно так выразиться. К НТ они пришли через ДОС (!) Но поскольку никто рядовому юзеру ничего другого не мог предложить - народ покупал и был весьма доволен. (Ламеры, конечно!) Но это как-то не упоминается, как аргумент юниксоидов, да и аргумент ли это?.. [img:47ace4d945]http://www.privet.com/ubb/smile.gif[/img:47ace4d945]

AlexR · Post by **AlexR** » 29 Apr 1999 02:05

Алексей, замечательный вопрос. Не без подколки, конечно, но в меры своих скромных сил обязательно постараюсь ответить полно и развёрнуто. Только завтра. Ну посудите сами - не из дома же, тратить своё личное время... То ли дело на работе [img:99ca608d35]http://www.privet.com/ubb/smile.gif[/img:99ca608d35]. Компиляцию или downloading to target board (как видите, я тоже по embedded) запустил - и пиши себе философские размышления на вечные темы: что делать, с чего начать, кто виноват, и т.д....

leka · Post by **leka** » 29 Apr 1999 05:14

Наш ответ юниксоидам!

Во-первых, вирусы появились задолго до появления мелкософта, т.о. архитектура ДОСов и 95/98 никаким образом не провоцировала появления вирусов и коней. Ищите корни у себя [img:dfe6f43307]http://www.privet.com/ubb/smile.gif[/img:dfe6f43307]

Во-вторых, (по поводу пре-бета) программирование существует не для того, чтобы программировать, а для того, чтобы продавать программы.

В-третьих, если вы такие умные, так чего у вас клиппера нет? [img:dfe6f43307]http://www.privet.com/ubb/smile.gif[/img:dfe6f43307]

Post by **Privet** » 29 Apr 1999 05:25

Блин! Да тут хоть кто нибудь не embedded есть? [img:597fc425dd]http://www.privet.com/ubb/smile.gif[/img:597fc425dd]

Скоро этот островок Windows CE назаваться будет. [img:597fc425dd]http://www.privet.com/ubb/frown.gif[/img:597fc425dd]

Поэтому, ты, AlexR, редактируй скорей свои комплименты и учи Win32 пока не поздно. [img:597fc425dd]http://www.privet.com/ubb/smile.gif[/img:597fc425dd]

<BLOCKQUOTE>quote:<HR>
А ненависть к Микрософту - это что-то вроде антисемитизма: все "причины" надуманные и абсолютно идиотские.
<HR></BLOCKQUOTE>

Мне мой приятель рассказывал, что они с его знакомым чуть не поругались на этой почве. Вот, до чего находит. На мой взгляд быть патриотом операционной системы - абсурд.

То, что Билл монополист - плохо, но не он один в этом виноват. Проигравшие ему тоже помогли.

Кстати, я с понедельника мельчаю и мягчаю. Вот, так!

------------------
[b:597fc425dd]Привет.[/b:597fc425dd]

Shura · Post by **Shura** » 29 Apr 1999 13:43

Тема вечная и наверно уже не интересная (особенно для тех кто знает слово interrupt, DSP и где-то там чего-то embedded) что лучше - UNIX или Windows...
Я, например, не люблю Windows за то, за что люблю UNIX, и наоборот - не люблю UNIX за то, за что люблю Windows!
А сравнивать их, это всё равно что, например, спорить о том что лучше в живописи - реализм или импрессионизм...

AlexR · Post by **AlexR** » 29 Apr 1999 16:30

Ладно, не интересно - не буду. Хорошо ещё, что писать не начал. А то если бы написал, то уже было бы жалко не спостировать...

А по поводу WinCE - нас пока пронесло. pSoS с VxWorks-ом ещё никто не отменял, слава богу. Кстати, господа embed-овцы, а у кого есть опыт работы с eCos - ом? Очень мне нравится open-source модель, хотя, на мой взгляд, система ещё сыровата. Может кто уже реально игрался?

Alexey_Slutzky · Post by **Alexey_Slutzky** » 29 Apr 1999 17:36

Я извиняюсь, но это может Шуре неинтересно. А мне было бы весьма интересно услышать мнение AlexR. Особенно по своему первому вопросу. Да и по второму тоже.
Я лично всегда был убежден, что крик "маздай" - вернейший признак ламера. Т.е. как в природоведении. Вышел с журналом наблюдения в лес и слушаешь: Чу! Коль зацвенькает в кустах - значит, синица, чирикает - воробей, если токует - глухарь. А как замаздайкает - то знамо lamer vulgaris, птица глупая и невкусная.
Так ошибался ли я?

sergeyf · Post by **sergeyf** » 29 Apr 1999 18:06

Alexey_Slutzky : Дык !
Однако, наобщавшись вдосталь с угробищем MSSQL6.5 могу сказать только одно: must die. Не сочтите меня ламером.

muzhik · Post by **muzhik** » 29 Apr 1999 18:49

<BLOCKQUOTE>quote[quote:4763be10b0]Наш ответ юниксоидам![/quote:4763be10b0]

Может, и собирался ответить юниксоидам, а отвечал, кажется, на мое сообщение. Спорил со мной, зачем-то... [img:4763be10b0]http://www.privet.com/ubb/smile.gif[/img:4763be10b0]

<BLOCKQUOTE>quote[quote:4763be10b0]На мой взгляд быть патриотом операционной системы - абсурд.[/quote:4763be10b0]

Один мой знакомый сравнил это с религией.

<BLOCKQUOTE>quote[quote:4763be10b0]То, что Билл монополист - плохо, но не он один в этом виноват. Проигравшие ему тоже помогли.[/quote:4763be10b0]

О! Еще как! Еще лет 5-7 назад та же IBM могла попросту раздавить Microsoft - но поленилась, пренебрегла рынком писюков. Несколько лет назад, в нашем институтском магазине продавали компы, с Windows или OS/2 и соответствующей development environment - Microsoft Visual или IBM-овский аналог - на выбор. OS/2 - мало того, что хрен его знает, что с ним compatible, и какие игры [img:4763be10b0]http://www.privet.com/ubb/smile.gif[/img:4763be10b0] под ним побегут, так еще и стоил на сотню дороже (может, не долларов, а шекелей, но все равно - хамство). Так вот, студенты Техниона, сплошь грамотные программеры и электронщики, брали Windows - из тех же самых соображений, что и рядовые "ламеры". И ничего не помогало - даже мужик, поставленный специально для того, чтобы объяснят, почему OS/2 filesystem - лучше NTFS (хотя, по-моему, обе происходят от HPFS). Законы рынка никто пока не отменял. Раздавали бы бесплатно - раз уж конкурента задавить надо - так и результат бы был.