※ 本文轉錄自 [virus] 看板
發信人: lightblue.bbs@csie.nctu.edu.tw (一抹淺藍), 看板: virus
標 題: ICQ 中文化緊急聲明--**病毒 CIH
發信站: 交大資工鳳凰城資訊站 (Wed Jun 3 11:48:55 1998)
轉信站: maple!news.cs.nthu!news.csie.nctu!phoenix
Origin: 210.61.210.223
ICQ 中文化緊急聲明--**病毒！
希望這個通報，可以早一點挽救一些電腦！我為無辜的 ICQ 中文化叫屈！
據報，有些正在流通的 ICQ 中文化有病毒！這震驚了我！經過我的調查，原本我放上
來的檔案是沒有病毒的，但是，經過一流通，卻讓有些人的 ICQ 中文化檔案感染了。
除了感到痛心，也請大家小心！！如果您沒有感染上，那恭喜您，不過請繼續保持注
意！您還是可能被其他檔案感染的！
也就是說，傳染的途徑可能是這樣的：
沒有病毒的原始 ICQ 中文化 -> 被人抓下來使用 -> 感染病毒上去 -> 又被放上網路
所以從那一站起，無辜的 ICQ 中文化就帶病毒了！
這麼說來，不只 ICQ 中文化，有很多檔案都有感染！
*** 什麼病毒？
"CIH V1.2 TTIT" OR "CIH V1.4 TATUNG" (不同版本的病毒)
目前已知的是該病毒只會感染 95 或 98 的執行檔，DOS 下的檔案不會感染，破壞力
則仍不清楚。
*** 什麼軟體可以掃出病毒？
這是一個新的病毒，目前我所知道『沒有』任何防毒軟體能偵測，包括
Norton antivirus 4.0
ZLOCK BEST 98
PC-cillin 新世代版 + 病毒碼 365
McAfee VirusScan V3.16E for Windows 95
NAV 甚至會因此停擺，甚至防毒軟體也會被感染.....
*** 感染的症狀如何？
這病毒會感染您使用過的 .EXE 檔案，平常不易發覺，但是，如果感染到 WinZip 的
自動解壓縮檔，則會出現
WinZip Self-Extractor header corrupt. Possible cause:
bad disk or file transfer error.
且開完後；很多的自解檔 *.exe 都不能自動解壓縮，且會影響 Telprot Pro；導致
Telprot Pro 不能使用。
*** 怎麼找出病毒？
您可以在檔案總管對所有的 exe 檔案搜尋字串『CIH V1.』，找到的檔案就是帶有病
毒了！
1. 如果您使用 Win98 或 95+IE4 的介面：
打開檔案總管，選『工具』『尋找』『檔案或資料夾...』
在『名稱及位置』中，『名稱』輸入『*.exe』，『內含文字』輸入『CIH V1』，
『查詢』 選擇『我的電腦』，然後按『立即尋找』。
2. 如果您使用 Win95：
打開檔案總管，選『工具』『尋找』『檔案或資料夾...』
在『名稱及位置』中，『名稱』輸入『*.exe』，『查詢』選擇『我的電腦』，
『進階』 的『類型』選『應用程式』，『內含文字』輸入『CIH V1』，然後按
『立即尋找』。
*** 怎麼移除病毒？
病毒專家正在設法。請密切注意！
目前為止，有一個網友提供一個方法：
在中毒檔內搜尋如下的碼
55 8D 44 24 F8 33 DB 64
找到後再將前兩個 byte (也就是 55 8D) 改成 EB 5B...
如此一來... 雖然病毒還在檔案內, 可是已經無任何作用了...
而且以後對此毒免疫。
最好在純 DOS 環境下 (用磁片開機, 或是開機時不載入 windows)
做檔案搜尋的動作, 因為若在 windows 95 下, 則反而會使原本
還沒中毒的檔案遭到感染...
*** 哪些檔案有這種病毒？
據我所知，有部分的（不是全部）WinAMP SP1、CICQ9811_126.EXE，以及另一個故
意放置的禍源 Win98bSP.EXE 有病毒。還有其他的檔案也都有可能，只是我沒有去
找而已！尤其是自動解壓縮檔首當其衝！
因為這是一個新的病毒，發病起來會如何，還不清楚。比較可怕的是，目前沒有任
何防毒軟體可以偵測，頂多要發病前才會知道，但為時已晚。我為無辜的 ICQ 中文
化感到難過，甚至我在昨天（6/2）也因為使用 WinAMP SP1 也被感染了，上網調查
的結果，才發現我的ICQ 中文化也遭池魚之殃。也許您可以將上述的方法找出的受
感染檔案都刪除（如果不嚴重），就可以解決了，也許您可以等一下，病毒專家一
定會盡快的寫出掃毒的軟體，但我決定把我的硬碟都 format 掉，以確保日後提供
的中文化沒有問題。也提醒您要時時備份自己重要的資料，更要提醒您，下載檔案
一定要從信任的網站下載才行，現在的病毒真是太可怕了。
一抹淺藍
E-mail: ec@ms1.palmary.net.tw
--
本文章是我剪貼來的.....
小弟的電腦經過檢查已中毒.....大家小心!
--
病患姓名:akira 病症學名:二次元禁斷症(初期) 目前狀態:住院觀察中
--
※ 發信站: 批踢踢實業坊(ptt.m8.ntu.edu.tw)
◆ From: daisizen.k2.dor