第五十章 CIH变种加强版病毒专杀程序
萧云飞在各大杀毒软件的论坛浏览着关于最近流行病毒和木马相关的新闻动态，对于一个黑客，他会随时随地了解杀软公布的一些流行病毒和木马程序，从而根据这些流行病毒或者木马衍生的变种进行主动的分析和探测。 对于杀毒软件，萧云飞从心里是不屑一顾的，因为很多经过免杀处理后的木马，杀毒软件是不能查杀的。 很多杀毒软件的主页论坛公布了最近流行的病毒和木马，排在榜首的木马赫然是一款名叫“顶狐变种网银大盗”的木马程序。 这款木马程序采用反弹式设计原理，运行该木马后，它会自动删除自己并且加入启动项，写入注册表，建立关联的dll文件，感染所有可执行文件，对可执行文件进行映像劫持，该木马还插入了检索银行网站的功能，当用户打开各个银行的网站，登陆网上银行的账号时，它会主动记录用户的账号和密码，然后发送到窃密者指定的邮箱或者收信空间。 “顶狐变种网银大盗”的前身是一个名叫飞狐的程序员编写而成的，只不过因为他将这款木马程序用于非法用途被公安机关逮捕，从此这个木马程序就再未发行新版本。 即使这款木马的创作者哐当入狱，可是仍然有无数人继续研究并且更新这款堪称经典的“网银大盗”，各类犯罪事件也是层出不穷。曾经有人利用木马程序盗取用户的资料信息，然后将用户的资料信息打包出卖，不法分子利用这些用户的资料办理信用卡、消费卡等等，给许多人造成了难以计算的损失。 只要萧云飞喜欢，他可以把“顶狐网银大盗”改写得更加完美，他可以根据各个杀软查杀病毒的特点相应的修改木马程序的特征码，瞒天过海让杀毒软件根本查杀不出。 不过萧云飞有自己的底线，他不会恶意的去修改“网银大盗”，他更不会恶意去传播这类木马程序，当然他更不会利用“网银大盗”来盗取别人网上银行的存款。 他始终一直遵循着自己的准则：不会利用自己的技术盗取别人的金钱！萧云飞不是圣人，他入侵服务器，他甚至会敲诈一个公司，但是他绝不会对普通个人的银行账户下手！ 这是黑客准则的第三课。 最近爆发最广、危害最大的流行病毒是一款名叫“CIH变种加强版病毒”！这款病毒从上周开始大规模爆发，主要通过恶意网站和电子邮件进行传播，很多企业服务器和个人PC被感染，造成的损失难以计算！而且各大杀软厂商对这款病毒还未编写出专门的杀毒程序。 CIH病毒的前身产自台湾，是一个名叫陈盈豪的台湾大学生编写的，该病毒于1998年6月2日在台湾传出，随后在欧美国家大面积传播，并于98年8月26号在全球蔓延。该病毒是一种能够破坏计算机系统硬件的恶性病毒，它主要感染Windows95/98cao作系统，它使用了Windows下的VxD（虚拟设备驱动程序）技术造成的，所以这种病毒在Windows环境下传播，其实时性和隐蔽性都特别强，使用一般反病毒软件很难发现这种病毒在系统中的传播。 CIH病毒发作时，一方面全面破坏计算机系统硬盘上的数据，另一方面对某些计算机主板的BIOS进行改写。BIOS被改写后，系统无法启动，只有将计算机送回厂家修理，更换BIOS芯片。由于CIH病毒对数据和硬件的破坏作用都是不可逆的，所以一旦CIH病毒爆发，用户只能眼睁睁地看着价值万元的计算机和积累多年的重要数据毁于一旦。 这款病毒曾感染全球约6000万台电脑，造成高达10亿美元的商业损失，而这款病毒的创作者陈盈豪亦被很多人称为“鬼才”。 其实像这类摧毁硬件的病毒有很多，CIH并不是首例。比如国内陶辰的江民炸弹模拟器，“蔬菜”的Hdbreaker，采用的也正是CIH的破坏方法，造成的硬件损坏根本无法修复。 想不到CIH病毒沉寂了这么久，竟然还有人研究出了新型变种？要知道陈盈豪当时被抓的场景令很多人记忆深刻…… 到底是谁还敢铤而走险传播一款如此“臭名昭著”的病毒呢？ 这款“CHI变种加强版病毒”在网站上根本就找不到源码程序，萧云飞为了得到这款病毒的源码只好再次进入“黑鹰论坛”。 在病毒与反病毒专区，萧云飞如愿的找到了这款变种CIH病毒的源码，他将该病毒的源程序保存在记事本上之后，便迅速的退出了“黑鹰”论坛。 对于病毒，越是变态的病毒萧云飞就越感兴趣，他不但可以亲手编写病毒，他还可以编写查杀病毒的软件，越是厉害的病毒他觉得越具有挑战性。 萧云飞聚精会神的研究者病毒的代码，变种CIH在原来的基础上进一步增强了感染能力，它不在只是局限于感染Windows95/98cao作系统，对于windows系列的其它cao作系统通过微软的虚拟设备驱动程序改写底层BIOS代码，破坏cmos程序，删除系统文件，造成系统无法启动…… 虽然科技在进步，杀软在升级，可是病毒照样会变异！只是令大多数人没有想到的是CIH沉寂了如此之长的时间，再一次以摧枯拉朽之势蔓延开来！ 各大杀毒软件的客户部电话都快打爆了，客户的投诉、辱骂充斥着客服人员的整个耳膜，可是没办法——暂时没有哪家杀毒软件能够杀掉这款“CHI变种加强版病毒”。 萧云飞将CIH变种病毒编译成可执行程序在安装了腾龙cao作系统的虚拟机中运行，哪知这个病毒竟然根本就无法产生一点作用。 不过在安装WINDOWSXP的虚拟机系统中，CIH变种病毒将其破坏能力发挥到了极致，虽然在虚拟机中无法对主板进行破坏，但是整个虚拟系统被破坏殆尽，提示“请插入系统光盘”…… 萧云飞笑了笑，看来CIH的局限性还是只限于WINDOWS系列的cao作系统，对于其它系统它是无可奈何的。 WINDOWScao作系统在世界范围使用之广可见一般！ 萧云飞打开程序编写工具，从隐藏分区里找出以前自己编写的CIH病毒专杀程序，然后对其进行反汇编，一边研究变种CIH的源代码，一边在原有的专杀工具上进行升级和改写。 萧云飞将腾龙cao作系统的下载地址插入到刚刚编写完成的“CHI变种加强版病毒专杀”程序里，这算是萧云飞为腾龙cao作系统打广告吧。 做完这一切萧云飞首先在感染了CIH病毒的虚拟机系统上运行专杀程序，专杀程序从DOS启动，当检测完硬件信息之后，CIH专杀程序就会自动启动，将被CIH病毒更改的BIOS程序还原成正常状态，加载系统时同时遍历所有硬盘分区，修复被CIH病毒删除的系统文件，还原被CIH病毒感染的可执行程序。 OK，成功修复被CIH感染的系统，看来专杀工具可以很强势的干掉CIH变种病毒。 萧云飞点燃一根香烟惬意的吸了一口，既然编写出了专杀程序，就应该拿出来给广大受害者使用，萧云飞利用代理注册马甲到各大杀毒软件的论坛发布这款CHI变种加强版病毒专杀软件。 如果萧云飞把这款专杀工具卖给任何一个杀软厂商，他所得到的收益将会难以计量，只不过他对于这种事情好像从来没有想过。 ********************************** “中国红”论坛上有人悬赏寻找编写加密程序的高手，具体要求就是对编写的加密程序要采用特殊的加密算法，报酬颇为优厚。 萧云飞笑了笑，这种“引蛇出洞”的把戏，好像也太落伍了吧？作为一名黑客，关键还是低调，永远不要把自己的底牌暴露在别人的面前。 萧云飞发现腾龙系统简化版的下载次数并不是很高，看来要想让别人在很短时间内认可或者接受一款名不见经传的cao作系统确实很困难啊！ 天已经快亮了，萧云飞掐灭烟头望了望天空，或许明天过后情况就会大不相同了……