CIH

Escrito en 1998 por el estudiante taiwanés Chen Ing-hau (sus iniciales dan nombre al virus), CIH es uno de los virus más destructivos de la era Windows 9x. Es un virus «spacefiller»: en lugar de añadir su código al final del fichero —aumentando su tamaño—, buscaba huecos sin usar entre las secciones de los ejecutables Portable Executable (PE) y repartía ahí su carga, ocultándose sin alterar el tamaño del archivo. Su payload, doble y demoledor, se activaba en una fecha concreta (el 26 de abril en la variante más conocida, coincidiendo con el aniversario del desastre de Chernóbil, de ahí el apodo): sobrescribía el primer megabyte del disco (tabla de particiones, sector de arranque y estructuras del sistema de ficheros) y, además, intentaba sobrescribir la BIOS, dejando el equipo completamente inarrancable hasta reprogramar o sustituir el chip. Se estiman unos 60 millones de equipos infectados y unos 40 millones de dólares en daños.

Infección de ejecutables PE en Windows 9x; se difundía al compartir y ejecutar programas infectados (descargas, disquetes, redes).

En la fecha gatillo:

(1) sobrescribía el primer MB del disco con datos basura y (2) intentaba sobrescribir la BIOS (flash), inutilizando el arranque del equipo.

Antivirus actualizado; no ejecutar software pirata/no confiable; protección de escritura de la BIOS si está disponible; copias de seguridad.

Tras la activación, recuperación muy difícil: reprogramar/reemplazar el chip de BIOS y reconstruir el disco desde copias. Antes, desinfectar PE con antivirus.