* CIH 바이러스 1) 이름: (Win95/PE)CIH 2) 다른이름: Win95.CIH.1019 3) 제작지: 대만 ( 1998년 6월 ) 4) 국내발견: 1998년 6월 5) 종류: 파일 ( EXE ), 상주형, 겹쳐쓰기 6) 증상: 감염 도중 에러 발생, 시스템 정지, 매년 4월 26일에 플래시 메모리 및 하드 디스크 데이터 파괴 7) 내용: 1998년 6월 대만에서 최초로 발견된 외국산 바이러스로 바이러스 제작자가 인터넷을 통해 바이 러스를 퍼트린 것으로 추정되고 있다. 이 바이러스는 일부 셰어웨어 프로그램에 감염된 채 전세계로 확산되었으며, 국내에서도 비슷 한 시기에 MoviePlay 1.46 버전에 감염된채 대형 통신망 공개 자료실 등에 등록되어 많은 피해 가 발생했다. 또한 해적사이트를 통해 보급되는 일부 해적판 소프트웨어에 감염된 채 FTP 등을 통해 널리 퍼졌다. 바이러스에 감염된 파일이 실행되면 기억장소에 상주한 후 오픈되는 PE(Portable Executable)파 일을 감염시키는데 기억장소 상주 방법과 감염 방법 모두 새로운 방법을 사용한다. 기존의 윈도우용 바이러스들은 주로 VxD를 사용해서 재부팅한 후 바이러스가 상주하지만 이 바 이러스는 외부에 알려지지 않은 방법을 사용했다. 또한 파일 감염 방법 역시 기존 방법과 달리 파일에서 빈영역을 찾아 겹쳐쓰는 방법을 사용했다. 따라서 감염된 파일 크기의 변화는 없다. 하지만 자체적인 버그가 있어서 메모리에 상주되거나 파일 감염 도중 에러가 발생할 수 있다. 또 한 WinZip Self Extracter 파일에 감염되면 자동풀림실행 압축파일에 에러가 있는 것으로 판단하 고 아래와 같은 메시지를 출력한 후 압축이 풀리지 않는다. "Winzip Self-Extractor header corrupt. Possible cause; bad disk or file transfer error" 윈도우 95와 98에서는 메모리에 상주한 후 감염 활동을 할 수 있지만 윈도우 NT에서는 작동하지 않는다. 감염 후 특징적인 증상은 매년 4월 26일 플래시 메모리(Flash memory)의 내용을 삭제를 시도하 며, 모든 하드 디스크의 데이터를 파괴해 버린다. 참고로 국내에서 아직 발견되지 않은 변형 바 이러스는 매달 26일 파괴 증상이 나타난다. 플래시 메모리 데이터의 파괴 여부는 메인보드의 딥스위치(DIP switch)에 따라 달라진다. 즉, 최 신 바이오스(BIOS)들은 소프트웨어적으로 업데이트 할 수 있도록 쓰기가 가능한 형태로 되어 있는데 이 경우 데이터가 파괴될 수 있으며, 일부 보드에 따라서는 플래시 메모리에 쓰레기 값 이 입력될 때 시스템이 정지되는 경우도 있다. 감염 파일 내부에는 다음과 같은 문자열이 존재한다. "CIH v1.2 TTIT"