فيروسات الحاسوب (CIH)

فيروس CIH ، المعروف أيضًا باسم فيروس تشيرنوبيل ، هو فيروس حاسوبي يستهدف أجهزة الكمبيوتر التي تعمل بنظام التشغيل ويندوز 9x . توجد منه عدة أنواع، تختلف تواريخ تفعيلها، حيث ينشط الفيروس في أيام مختلفة، تتراوح بين مرة شهريًا ومرة ​​سنويًا. أكثر أنواعه انتشارًا، والذي ظهر لأول مرة في 26 أبريل 1999، تسبب بأضرار جسيمة لمئات الآلاف من أجهزة الكمبيوتر حول العالم، وأدى إلى خسائر بمئات الملايين من الدولارات. يُعرف فيروس CIH بحمولته المدمرة ، التي تستبدل البيانات في مناطق حيوية من القرص الصلب ، مما يجعل الوصول إليها مستحيلاً. في بعض الأنظمة، يقوم الفيروس أيضًا بإتلاف برنامج BIOS الثابت المخزن على اللوحة الأم عمدًا . هذا يجعل الكمبيوتر غير قادر على الإقلاع ، ويبقى غير قابل للاستخدام حتى يتم استبدال شريحة BIOS أو اللوحة الأم بالكامل.

كان انتشار الفيروس مدمراً للغاية. انتشر فيروس CIH بشكل أساسي عبر البرامج المصابة التي تم توزيعها عبر الإنترنت وعلى الوسائط المادية، بما في ذلك البرامج المقرصنة وتحديثات البرامج والأقراص المدمجة المرفقة بمجلات الكمبيوتر. كشف الفيروس عن ثغرات أمنية في نظامي التشغيل ويندوز 95 وويندوز 98 ، بالإضافة إلى ممارسات المستخدمين الخطرة، بما في ذلك الاستخدام الواسع النطاق للبرامج المقرصنة وتخزين البيانات المهمة دون نسخ احتياطية. يُعد هذا الفيروس من أوائل فيروسات الكمبيوتر واسعة الانتشار المعروفة بقدرتها على إتلاف البرامج الثابتة للنظام.

ابتكر تشين إنغ-هاو فيروس CIH أثناء دراسته لعلوم الحاسوب في معهد تاتونغ للتكنولوجيا في تايوان. وضع الأحرف الأولى من اسمه في سلسلة نصية ضمن شفرة الفيروس، ومن هنا جاء اسم الفيروس. كُتب الفيروس واكتُشف لأول مرة عام ١٩٩٨، وينتشر عن طريق إصابة ملفات PE (ملفات تنفيذية محمولة ) التي تستخدمها برامج ويندوز. عند تشغيل برنامج مصاب، يستقر الفيروس في الذاكرة ويصيب برامج تنفيذية أخرى على النظام. في أعقاب الأضرار التي سببها الفيروس، استُجوب تشين واحتُجز من قبل أجهزة إنفاذ القانون، لكن لم تُوجه إليه أي تهم جنائية في نهاية المطاف.

قام مبتكر الفيروس بكتابة عدة نسخ مختلفة من برنامج CIH بدءًا من 26 أبريل 1998، مُعرّفًا كل نسخة منها بسلسلة نصية تتضمن "CIH" ورقم الإصدار. ^{[ 2 ]} حصلت شركة مكافحة الفيروسات Sophos على أول عينة من الفيروس في يونيو  1998 من ملف مصاب استلمته من عميل في تايوان . ^{[ 3 ] [ 4 ]} وقد صنّفت الشركة CIH على أنه فيروس غير معروف سابقًا يصيب ملفات PE. ^{[ 4 ]} أبدى الباحثون اهتمامًا مبدئيًا بالفيروس الجديد بسبب أسلوبه غير المألوف في إخفاء نفسه داخل الملف المصاب. في البداية، اعتقدوا أن حمولته عبارة عن عملية تخريبية عادية تقوم بالكتابة فوق قسم حيوي من القرص الصلب للكمبيوتر ببيانات غير صالحة، مما يؤدي إلى تلف البيانات المخزنة هناك، ولكن قبل أيام من تاريخ 26 يونيو الذي استخدمته اثنتان من النسخ، اكتشفوا قسمًا إضافيًا من التعليمات البرمجية مصممًا لإتلاف نظام BIOS الخاص بالكمبيوتر . ^{[ 4 ]} بحلول شهر أغسطس، تلقت معظم شركات مكافحة الفيروسات الكبرى نسخة واحدة على الأقل من الفيروس من عملائها، وأكدت العديد منها وجود نسخ متعددة. ^{[ 5 ]}

فيروس CIH هو فيروس حاسوبي يُلحق الضرر بالأجهزة، ويصيب ملفات الملفات التنفيذية المحمولة (PE) على أجهزة الكمبيوتر التي تعمل بنظامي التشغيل Windows 95 و Windows 98 و Windows ME . ^{[ 4 ]} وقد قام المؤلف لاحقًا بنشر شفرة المصدر للعموم. ^{[ 6 ]}

ملفات PE هي تنسيق الملفات القياسي الذي يستخدمه نظام ويندوز للبرامج ومكوناتها. تحتوي هذه الملفات على جميع التعليمات البرمجية والبيانات المُجمّعة اللازمة لتحميل التطبيق وتشغيله. ^{[ 7 ]} يُقسّم ملف PE إلى عدد من الأقسام، أو الكائنات، يجب أن يبدأ كل منها بعنوان مُحاذٍ لمضاعفات عدد ثابت من البايتات، يتراوح من 512 بايت إلى عدة كيلوبايتات. عندما لا تصل نهاية أحد الأقسام إلى بداية العنوان المُحاذي التالي تمامًا، تُملأ البايتات المتبقية بأحرف فارغة لإنشاء مساحة "هامشة"، وهي في الأساس مساحة غير مُستخدمة أو مهدرة. تحتوي ملفات PE عادةً على خمسة أو ستة كائنات، يحتوي كل منها على مساحة هامشية في نهايته. ^{[ 4 ]}

يستغل فيروس CIH المساحة الفارغة بين العناصر في ملف PE لتخزين شفرته، مما يسمح له بإصابة الملف دون زيادة حجمه. هذه التقنية، المعروفة باسم "عدوى التجويف"، لم تُشاهد من قبل؛ فقد استخدم فيروس MS-DOS Lehigh ، الذي كُتب عام 1987، طريقة مشابهة. ^{[ 4 ]} وبترك حجم الملفات المصابة دون تغيير، يتمكن الفيروس من إخفاء حقيقة تعديل الملف.

تحتوي الحواسيب على إشارات تستخدمها البرامج لإعلام المعالج بحدث يتطلب معالجة فورية، وتُسمى هذه الإشارات بالمقاطعات أو المصائد. يحتفظ نظام التشغيل بقائمة، تُسمى جدول وصف المقاطعات (IDT)، تتضمن البرامج التي يجب تنفيذها، والتي تُسمى معالجات المقاطعات ، عند تلقيه إحدى هذه الإشارات. عندما يتلقى المعالج مقاطعة، فإنه يتوقف مؤقتًا عما يفعله ويُشغّل البرنامج المُدرج في جدول وصف المقاطعات (IDT) كمعالج للمقاطعة الخاصة بذلك الحدث. ^{[ 8 ]}

عند تشغيل برنامج مصاب بفيروس CIH، يُجري الفيروس أولًا تغييرًا على معالج المقاطعات (IDT) بحيث يتوقف النظام عن العمل عند استقبال مقاطعة معينة، ثم يُشغّل شيفرة الفيروس. بعد ذلك، يُفعّل الجزء المصاب من التطبيق المقاطعة المُعدّلة حديثًا على الفور. ولأن الفيروس مُعيّن كمعالج للمقاطعات، يُعيد نظام التشغيل تشغيل الفيروس بمستوى صلاحيات أعلى من تطبيق المستخدم، مما يمنحه وصولًا على مستوى النواة إلى ذاكرة النظام وإشارات المعالج التي كانت مُقيّدة. ^{[ 4 ]}

يستخدم الفيروس وصوله إلى مستوى نواة النظام للتحقق من القيمة المخزنة في سجل التصحيح 0. إذا كانت القيمة غير صفرية، يفترض برنامج CIH أنها موجودة بالفعل في الذاكرة، ويعيد التحكم إلى البرنامج الأصلي دون القيام بأي إجراء. يبدو أن استخدام سجل التصحيح 0 مصمم لجعل تحليل الفيروس صعبًا، نظرًا لأن العديد من برامج التصحيح تستخدم سجلي التصحيح 0 و1 أثناء التحليل. ^{[ 4 ]}

بمجرد أن يتأكد الفيروس من عدم وجوده في الذاكرة، يبدأ باتخاذ خطوات ليصبح مقيمًا فيها. يضع قيمة غير صفرية في سجل التصحيح 0، ثم يخصص مساحة في الذاكرة المستخدمة بواسطة برنامج تشغيل الجهاز الظاهري ، ويستخدم هذه المساحة لإعادة بناء شفرته التنفيذية من الأجزاء المخزنة في الملف المصاب. بعد إعادة تجميع نفسه في الذاكرة، يُفعّل الفيروس معالج المقاطعة مرة أخرى، ويستخدم صلاحياته على مستوى النواة لتثبيت خطاف نظام الملفات، مما يؤدي إلى تشغيل شفرته المقيمة في الذاكرة في كل مرة يفتح فيها نظام التشغيل ملفًا أو يحفظه أو ينفذه. ^{[ 4 ]}

بعد تلقي اتصال من خطاف نظام الملفات، يفحص الفيروس الملف الذي تم فتحه لتحديد ما إذا كان ملف Windows PE غير مصاب مسبقًا. عند العثور على هدف محتمل، يحلل رأس ملف PE وجدول الأقسام لحساب مقدار التعليمات البرمجية التي يمكن إدراجها في المساحة الفارغة بين كل قسم مُحاذى. إذا كانت هناك مساحة كافية في الملف، يكتب الفيروس أجزاءً من التعليمات البرمجية في المساحة الفارغة لكل قسم ويُعدّل رأس ملف PE بحيث يتم تنفيذه عند تشغيل البرنامج. في حالة نادرة نسبيًا، إذا صادف الفيروس ملفًا لا يحتوي على مساحة فارغة كافية بين العناصر لاستيعاب التعليمات البرمجية، فإنه يترك ذلك الملف غير مصاب، ولكنه سيُصنّفه على أنه مصاب حتى لا يُحلله لاحقًا. بعد اكتمال التعديل، يُعيد الفيروس التحكم إلى نظام التشغيل وتستمر عملية الملف بشكل طبيعي. ^{[ 4 ]}

أثناء العمليات العادية، يُشغّل الحاسوب العديد من البرامج، لذا يمكن للفيروس أن يُصيب العديد من الملفات على الحاسوب بسرعة. ^{[ 9 ]} إن مجرد فتح ملف سليم كفيل بإصابته طالما كان للحاسوب صلاحية الكتابة عليه، حتى لو كان الحاسوب يصل إليه من نظام آخر عبر الشبكة. ^{[ 5 ]}

تسمح طريقة العدوى هذه لبرنامج CIH بالعمل على أنظمة التشغيل من عائلة Windows 9x . ^{[ 9 ]} ومع ذلك، فإن آليات الحماية الأقوى في أنظمة Windows NT و Windows 2000 و Windows XP والأنظمة الأحدث تمنع تطبيقات المستخدم من تعديل موارد النواة المحمية، بما في ذلك جدول وصف المقاطعات. ولأن برنامج CIH يعتمد على هذا التعديل للوصول المبدئي إلى مستوى النواة، فإنه غير قادر على تثبيت مكونه الموجود في الذاكرة أو اعتراض عمليات الملفات على هذه الأنظمة. ^{[ 10 ]}

بحسب نوع الفيروس، يكون لفيروس CIH تواريخ تفعيل سنوية في 26 أبريل أو 26 يونيو، أو تواريخ تفعيل شهرية في اليوم السادس والعشرين من كل شهر. إذا تم تشغيل أي ملف مصاب على جهاز كمبيوتر في تاريخ التفعيل بينما يكون الفيروس موجودًا بالفعل في الذاكرة، يقوم الفيروس بتفعيل حمولته. ^{[ 4 ]}

عندما اكتُشف الفيروس لأول مرة في يونيو  1998، اعتقد الباحثون أن فيروس CIH قد نشأ في تايوان، نظرًا لانتشاره الواسع هناك. ^{[ 4 ]} وكانت إحدى شركات تصنيع أشباه الموصلات التايوانية من أوائل ضحايا الفيروس، حيث عُثر عليه في 400 جهاز كمبيوتر من أصل 1000 جهاز. وتمكنت الشركة من تطهير معظمها بنجاح قبل أن تتعرض لأضرار جسيمة أو فقدان للبيانات. ^{[ 13 ]}

بحلول شهر أغسطس، تم تأكيد الإصابات في الولايات المتحدة وبريطانيا العظمى وفرنسا وألمانيا والنرويج وروسيا وتشيلي وأستراليا وكوريا. ^{[ 4 ]} كان الفيروس ينتشر بسرعة في جميع أنحاء العالم من خلال توزيع البرامج المقرصنة التي أصيبت بالفيروس دون علم المستخدمين، لا سيما في آسيا، حيث كان شراء وبيع البرامج المقرصنة شائعًا، بينما كان استخدام برامج مكافحة الفيروسات نادرًا نسبيًا. ^{[ 14 ]}

انتشر الفيروس أيضًا عن طريق الخطأ من خلال ملفات مصابة صادرة عن عدة مؤسسات تجارية. قامت شركة Wireplay ، وهي خدمة ألعاب شهيرة عبر الاتصال الهاتفي مقرها المملكة المتحدة تابعة لشركة British Telecom ، بتوزيع تحديث مصاب بفيروس CIH لبرامجها لمدة تزيد عن 27 ساعة في يوليو  1998. ^{[ 15 ]} وفي الشهر نفسه، استضافت MPlayer.com ، ثالث أكبر خدمة ألعاب عبر الإنترنت تضم حوالي 800,000 مستخدم، تحديثات برامج مصابة لفترة وجيزة على موقعها الإلكتروني. ^{[ 16 ]} وفي يوليو أيضًا، أفادت شركة ترفيه عبر الإنترنت، لم يُكشف عن اسمها، أنها اكتشفت إصابة بفيروس CIH في تحديثات البرامج التلقائية التي كانت على وشك إصدارها، والتي كان من الممكن أن تُصيب عشرات الآلاف من عملائها بسرعة. ^{[ 13 ]}

نشرت شركة ياماها، المتخصصة في تصنيع ملحقات الكمبيوتر ، تحديثًا برمجيًا مصابًا لأحد محركات أقراص CD-R الخاصة بها على خوادمها، مما أدى إلى إصابة عدد غير معروف من العملاء. ^{[ 17 ]} وفي أبريل  1999، اكتشفت شركة آي بي إم، المتخصصة في تصنيع أجهزة الكمبيوتر، أن عدة آلاف من أجهزة كمبيوتر أبتيفا التي بيعت بين 5 و17 مارس قد شُحنت مصابة بفيروس CIH. ^{[ 18 ]}

قامت شركة البرمجيات Origin Systems بتوزيع نسخة مجانية من لعبة Wing Commander: Secret Ops من أحد خادمي التنزيل التابعين لها لفترة وجيزة، وكانت هذه النسخة تتضمن برنامج تثبيت مصابًا بفيروس CIH. ^{[ 19 ] [ 20 ]} وأفاد بعض اللاعبين الذين قاموا بتنزيل نسخة تجريبية من لعبة SiN من Activision ، والتي صدرت في أحد تواريخ انتشار الفيروس في يوليو 1998، أن محركات الأقراص الصلبة الخاصة بهم قد مُسحت بواسطة الفيروس بعد تثبيت النسخة التجريبية، على الرغم من أن Activision نفت مسؤوليتها عن الإصابات. ^{[ 17 ] [ 20 ]} كما تبين أن مجموعة أدوات مخصصة لحل مشكلات عام 2000 ، والتي وزعها مطور بريطاني، مصابة بالفيروس بعد توزيع سبعين نسخة منها على العملاء. ^{[ 21 ]} 

تسببت الأقراص المدمجة (CD) المصابة بفيروس CIH، والتي وُزعت مع مجلات الكمبيوتر، في إصابة عدد غير معروف من المستخدمين. ^{[ 22 ]} احتوت أعداد سبتمبر 1998 من مجلة Ultimate PC Gaming  البريطانية ومجلة PC Guru المجرية على ما بين 20 و23 برنامجًا مصابًا على أقراصها المدمجة. سُحب عدد مجلة Ultimate PC Gaming من الأسواق، بينما أضاف ناشرو مجلة PC Guru ملاحظةً في المجلة تصف الفيروس بأنه غير ضار في الأساس، ونصحوا القراء بتطهير أجهزتهم بعد تثبيت أي برنامج من القرص المدمج. ^{[ 21 ]}

تضمنت أغلفة أقراص مجلة ArabChip  الصادرة في مارس 1999 ومجلة مستخدمي ويندوز في الشرق الأوسط الصادرة في فبراير 1999 برامج مصابة بفيروس CIH. ^{[ 23 ]} وتبين لاحقًا أن الأقراص المدمجة التي تحتوي على إصدار Back Orifice 2000، والتي وُزعت في مؤتمر DEFCON 7، مصابة بالفيروس. وأصدر أحد أعضاء جماعة Cult of the Dead Cow ، التي طورت البرنامج، بيانًا قال فيه: "لا بد أننا أصابنا أقراصنا المدمجة الخاصة بمؤتمر Defcon عن طريق الخطأ بفيروس CIH v1.2 TTIT (تشيرنوبيل). لم يكن هذا مخططًا له، وبصراحة، يجعلنا هذا نبدو كالحمقى." ^{[ 24 ]} 

بعد أن اتضحت الأضرار المحتملة التي قد يُسببها الفيروس، بدأت التقارير الإعلامية تُدق ناقوس الخطر في يوليو  1998. ورغم أن أحد التواريخ المُحتملة لظهور النسخة 1.4 كان 26 يوليو، إلا أن ذلك اليوم مرّ دون أضرار جسيمة في الولايات المتحدة. وعلّق ممثل مركز توماس ج. واتسون للأبحاث التابع لشركة IBM قائلاً: "لقد انتهى الفيروس ببساطة. ببساطة، لا يُشارك الناس الملفات التنفيذية." ^{[ 25 ]} وتساءل بعض المُعلقين عما إذا كان الفيروس يُشكّل خطراً حقيقياً على مُعظم مُستخدمي أجهزة الكمبيوتر الشخصية. ^{[ 26 ]}

صادف تاريخ بدء الثغرة في يوليو يوم أحد، وهو يوم لم تكن فيه العديد من أجهزة الكمبيوتر قيد الاستخدام. إلا أن تاريخ بدء الثغرة التالي، 26 أغسطس، صادف يوم أربعاء، وكان تأثيرها أكبر من تأثيرها في الشهر السابق. وردت تقارير تفيد بتأثر حوالي 750 جهاز كمبيوتر يعمل بنظام ويندوز في الولايات المتحدة. ^{[ 12 ]}

مع اقتراب 26 أبريل 1999، حذرت الصحف والبرامج التلفزيونية والإذاعية في الولايات المتحدة وأوروبا الغربية مجددًا من التأثير المحتمل لفيروس CIH. ^{[ 6 ]} وكان هذا التاريخ بمثابة نقطة تحول لكل من السلالة 1.4 والسلالة 1.2 الأكثر انتشارًا. ^{[ 27 ]}

ظل بعض المحللين متشككين في مستوى الخطر الذي يشكله الفيروس، والذي كان يُشار إليه غالبًا في وسائل الإعلام باسم "فيروس تشيرنوبيل" نظرًا لتزامن تاريخ ظهوره في 26 أبريل مع ذكرى كارثة تشيرنوبيل النووية عام 1986. وشهد الشهر السابق اضطرابًا واسع النطاق بسبب فيروس ميليسا ، وهو فيروس ماكرو سريع الانتشار تسبب في ازدحام شديد في الشبكة وإبطاء أنظمة الكمبيوتر في جميع أنحاء العالم. ^{[ 28 ]} جادل أحد كُتّاب الأعمدة في صحيفة نيويورك تايمز بأن شركات مكافحة الفيروسات تُبالغ في تقدير التهديدات الفيروسية المتكررة بهدف بيع المزيد من برامجها. ^{[ 27 ]} وأشار ستيف تريلينج، مدير الأبحاث في مركز أبحاث مكافحة الفيروسات التابع لشركة سيمانتك، إلى أن الفيروسات تميل إلى أن تكون في أشد حالات خطورتها خلال الأشهر الستة الأولى بعد إطلاقها، وأن فيروس CIH كان ينتشر بالفعل منذ حوالي ثمانية أشهر، مما يُشير إلى أن تأثيره قد يكون محدودًا. ^{[ 29 ]}

أثبت تاريخ 26 أبريل 1999، وهو تاريخ بدء انتشار فيروس CIH، أنه أكثر تدميراً بكثير مما توقعه العديد من المحللين. ^{[ 30 ]} وأُفيد بأن مئات الآلاف من أجهزة الكمبيوتر قد تأثرت بالفيروس، مع تقديرات للأضرار تجاوزت 250 مليون دولار. ^{[ 14 ]}

في كوريا الجنوبية، أُبلغ عن إصابة 240 ألف جهاز كمبيوتر في حوالي 1000 شركة، و300 جامعة، و200 مؤسسة عامة وحكومية. ^{[ 14 ]} ساهمت أكبر خمس شركات لخدمات الاتصالات عبر أجهزة الكمبيوتر في البلاد في انتشار العدوى، مما أدى إلى إصابة عشرات الآلاف من العملاء الذين قاموا بتنزيل البرامج منها. ^{[ 22 ]} وقدّر مسؤولون حكوميون أن حوالي 4% من أجهزة الكمبيوتر في البلاد قد تأثرت، مما يجعلها أسوأ تفشٍّ لفيروسات الكمبيوتر شهدته البلاد. ^{[ 31 ]}

في الصين، أفادت وسائل الإعلام الرسمية بتضرر أكثر من 100 ألف جهاز كمبيوتر، مع تعرض 5% منها لأضرار جسيمة. ^{[ 32 ]} وفي الهند، تضررت 10 آلاف شركة على الأقل، وذكرت صحيفة "إنديان إكسبريس" أن بيانات بملايين الدولارات قد فُقدت. ^{[ 30 ] [ 31 ]} كما وردت أنباء عن تضرر 10 آلاف جهاز كمبيوتر أخرى في بنغلاديش، حيث وصف المسؤولون هذا التفشي بأنه "أسوأ كارثة حاسوبية تشهدها البلاد". ^{[ 31 ]}

في المملكة العربية السعودية ودول الخليج العربي الأخرى، تم الإبلاغ عن أضرار بلغت قيمتها ملايين الدولارات، وتأثر ما يصل إلى 70 ألف جهاز كمبيوتر. ^{[ 33 ]} وذكرت صحيفة "جلف نيوز ديلي" أن ما يصل إلى 10% من مستخدمي الكمبيوتر في الإمارات العربية المتحدة قد تأثروا. ^{[ 31 ]} وفي سوريا، تعطل معرض "شام 99"، أكبر معرض للحاسوب في البلاد، والذي أقيم في الفترة من 25 إلى 28 أبريل، عندما اضطر العديد من العارضين إلى إغلاق أجنحتهم في اليوم الثاني بسبب أضرار ناجمة عن الفيروس. ^{[ 23 ]}

أفادت تركيا بتضرر نحو 300 ألف جهاز حاسوب، بما في ذلك أنظمة في مطار، وبنوك، ومحطات إذاعية وتلفزيونية حكومية. وعلّقت صحيفة راديكال قائلةً: "كانت التحذيرات موجودة، لكن لم يُعرها أحد أي اهتمام". ^{[ 30 ] [ 31 ]} وفي إحدى دول الاتحاد السوفيتي السابق، التي لم يُكشف عن اسمها، أفادت التقارير بأن نصف بنوك البلاد لم تتمكن من معالجة المعاملات بعد أن شلّ الفيروس أنظمتها. ^{[ 6 ]}

في الولايات المتحدة، ذكرت صحيفة نيويورك تايمز أن أقل من 10,000 جهاز كمبيوتر من أصل 50 مليون جهاز في البلاد قد تأثر. ^{[ 34 ]} وأفاد فريق الاستجابة للطوارئ الحاسوبية (CERT) في جامعة كارنيجي ميلون بتضرر ما لا يقل عن 2,328 جهاز كمبيوتر، مع أن المسؤولين أشاروا إلى أن العدد الحقيقي قد يكون أعلى من ذلك، نظرًا لعدم إلزام المؤسسات والأفراد بالإبلاغ عن حوادث الفيروسات. ^{[ 30 ]} وأفاد موظفو الدعم الفني في شركة سيمانتك للأمن بتلقيهم اتصالات من أكثر من 500 شخص متضرر من الفيروس لم يكونوا يستخدمون برامج مكافحة الفيروسات. ^{[ 35 ]}

خلص بعض المحللين إلى أن الولايات المتحدة وأوروبا الغربية كانتا أقل تضررًا من غيرها من المناطق، لأن تاريخ بدء سريان التحذير في أبريل/نيسان جاء بعد فترة وجيزة من تفشي فيروس ميليسا، مما زاد الوعي بمخاطر فيروسات الحاسوب. ^{[ 6 ]} واستجابةً لفيروس ميليسا، قامت العديد من الشركات بشراء برامج مكافحة الفيروسات أو تحديث تعريفات الفيروسات لديها. ^{[ 35 ]} واكتشف عدد كبير من المستخدمين الذين قاموا بتنزيل أدوات مكافحة الفيروسات للتحقق من وجود فيروس ميليسا، إصابات CIH وقاموا بإزالتها، مما أدى إلى تطهير آلاف أجهزة الحاسوب قبل تاريخ بدء سريان التحذير. ^{[ 36 ]}

كان خط الدفاع الأول ضد فيروس CIH هو برنامج مكافحة فيروسات يتم تحديثه بانتظام. ^{[ 4 ]} صرّح رئيس الشركة المنتجة لبرنامج AntiViral ToolKit Pro (AVP) بأن منتجهم كان الأول القادر على اكتشاف الفيروس وإزالته، ولكن بحلول صيف عام 1998، أصبحت جميع برامج مكافحة الفيروسات التجارية الرئيسية قادرة على اكتشاف فيروس CIH. ^{[ 26 ] [ 29 ]} أي مستخدم قام بفحص حاسوبه باستخدام برنامج تم تحديثه بعد ذلك الوقت كان سيتمكن من تحديد الإصابات وإزالتها. ^{[ 29 ]} اكتشفت برامج مكافحة الفيروسات فيروس CIH من خلال التعرف على نمط بايت سداسي عشري معين في الملفات المصابة، وهو نمط مشترك بين جميع المتغيرات المعروفة. ^{[ 37 ]} في بعض الأحيان، كان من الصعب على الماسح الضوئي اكتشاف الملفات المصابة المخزنة داخل برامج التثبيت أو الأرشيفات المضغوطة مثل ملفات ZIP . ^{[ 15 ]}

كانت إحدى طرق الحماية من حمولة الفيروس المدمرة هي إزالة وصلة اللوحة الأم التي تسمح بإعادة كتابة نظام الإدخال والإخراج الأساسي (BIOS). ورغم أن هذا الإجراء منع الفيروس من الكتابة فوق برنامج BIOS الثابت، إلا أنه لم يحمِ بيانات القرص الصلب للحاسوب. مع ذلك، قام بعض مصنعي اللوحات الأم بإزالة هذه الوصلة وتفعيل إمكانية الكتابة على BIOS بشكل دائم بهدف خفض تكاليف التصنيع. ^{[ 4 ]} ولمعالجة خطر تلف BIOS العرضي، بدأ بعض المصنعين بتطبيق آليات استعادة، حيث يتم تخزين جزء صغير من البرنامج الثابت في ذاكرة قراءة فقط (ROM) غير قابلة للتحديث، بحيث يمكن استعادة النظام في حالة التلف. ^{[ 5 ]}

تطلّب إزالة الفيروس في البداية إعادة تشغيل الكمبيوتر من قرص تمهيد نظيف، مما يمنع الفيروس من التحميل إلى الذاكرة وإصابة الملفات أثناء فحصها. لاحقًا، أصدرت شركات مكافحة الفيروسات برامج مساعدة صغيرة قادرة على إزالة الفيروس من الذاكرة بأمان، مما يسمح بفحص الأنظمة المصابة وتنظيفها دون الحاجة إلى إعادة تشغيل الكمبيوتر. ^{[ 35 ]} وقد وفرت شركات مثل سوفوس ونورتون ونتورك أسوشيتس وغيرها أدوات إزالة مخصصة مجانًا. ^{[ 29 ]}

تم اكتشاف أربعة نسخ متقاربة من الفيروس في البرية في الأصل، ولم تختلف إلا في تفاصيل طفيفة. ^{[ 37 ]}

يُعرف فيروس CIH 1.2، أو CIH.1003، بتاريخ 26 أبريل، أي بعد عام من ظهور الفيروس الأصلي. وقد اشتهر في وسائل الإعلام باسم "فيروس تشيرنوبيل" لأن 26 أبريل يوافق ذكرى كارثة تشيرنوبيل النووية عام 1986. ^{[ 9 ]} وكان هذا النوع هو الأكثر انتشارًا، ومسؤولًا عن جزء كبير من الأضرار التي لحقت بالبيئة في 26 أبريل 1999. ^{[ 27 ]}

تم تحديد نوعين مختلفين من CIH 1.3، يُعرفان أيضًا باسم CIH.1010A وCIH.1010B. كلاهما يحمل تاريخ بدء التشغيل في 26 يونيو، ويحتويان على سلسلة نصية داخلية هي "CIH v1.3 TTIT". ^{[ 38 ]}

يحتوي الإصدار CIH 1.4، المعروف أيضًا باسم CIH.1019، على تاريخ تفعيل في السادس والعشرين من كل شهر، ويتضمن النص "CIH v1.4 TATUNG". ^{[ 12 ] [ 38 ]}

في مايو  2002، تم اكتشاف نسخة متحورة من دودة الحاسوب Klez.h واسعة الانتشار ، والتي كانت تنشر أيضًا سلالة جديدة من فيروس CIH تُعرف باسم CIH.1049، والتي بدأ انتشارها في 2 أغسطس. لم تنتشر هذه النسخة المتحورة على نطاق واسع. ^{[ 39 ]} وبحلول ذلك الوقت، كان قد تم نشر الشفرة المصدرية للفيروس للعموم، لذا فإن مُنشئ هذه النسخة والنسخ اللاحقة غير معروف. ^{[ 6 ]}

تم اكتشاف نوع خامس معدل، CIH.1106، في ديسمبر  2002، ولكنه لم ينتشر على نطاق واسع أيضاً. ^{[ 38 ]}

حددت سلطات إنفاذ القانون في تايوان هوية مبرمج الفيروس، وهو شاب يبلغ من العمر 24 عامًا يُدعى تشين إنغ هاو. ^{[ 35 ]} كان تشين طالبًا في هندسة الحاسوب بمعهد تاتونغ للتكنولوجيا عندما قام ببرمجة الفيروس . ^{[ 1 ]} وأخبر المحققين أنه على الرغم من مشاركته الفيروس مع طلاب آخرين في المعهد، إلا أنه حذرهم من نشره. تسبب الفيروس في تلف العديد من أجهزة الحاسوب في المعهد، لكن تشين لم يُفصل. بدلاً من ذلك، عاقبه المعهد بخصم نقاط من رصيده لإنشائه الفيروس دون تطوير طريقة للكشف عنه وإزالته. ^{[ 34 ]}

بعد الأضرار الواسعة النطاق التي سببها الفيروس في 26 أبريل 1999، استجوب المحققون تشين. ^{[ 40 ]} في ذلك الوقت، كان قد تخرج ويؤدي خدمته العسكرية الإلزامية لمدة عامين في تايوان. ^{[ 34 ]} أخبر المحققين أن هدفه عند كتابة الفيروس كان تطوير شيء يُحرج شركات برامج مكافحة الفيروسات، التي وصفها بأنها غير كفؤة. وقال إنه في الماضي، عانى من هجوم فيروسي تسبب في فقدانه لبياناته على الرغم من امتلاكه برنامج حماية من الفيروسات، وكان يعتقد أن العديد من هذه البرامج غير فعالة. ^{[ 1 ]}

أخبر تشين المحققين أنه لم يتوقع أن يتسبب الفيروس في هذا القدر الواسع من الضرر. وأعرب عن ندمه لكتابة البرنامج، وقدم اعتذارًا علنيًا لضحاياه. ^{[ 1 ]} وأفاد زملاء دراسة سابقون ومدرسون للمحققين أن تشين تفاخر بصنع الفيروس، وحذر أصدقاءه من تحميله على أجهزة الكمبيوتر الخاصة بهم. كما لاحظ زملاؤه أن اسم الفيروس مشتق من الأحرف الأولى من اسمه، CIH، والتي ظهرت داخل البرنامج. ^{[ 40 ]}

بموجب قانون جمهورية الصين ، يُعاقب على إتلاف جهاز كمبيوتر عمدًا بالسجن لمدة تصل إلى ثلاث سنوات. ^{[ 40 ]} ومع ذلك، يشترط القانون على الضحية تقديم شكوى رسمية بشأن الضرر. ولما لم يتقدم أي من ضحايا الفيروس بشكوى ضد تشين، أُطلق سراحه دون توجيه أي تهمة إليه. ^{[ 41 ]}

ألقت السلطات القبض على تشين مجددًا في سبتمبر/أيلول  2000 بعد أن تقدم طالب في تايوان بشكوى إثر إصابة حاسوبه بفيروس في أبريل/نيسان من ذلك العام. ^{[ 42 ] [ 41 ]} إلا أنه نظرًا للقيود المفروضة على قوانين الأمن السيبراني في تايوان آنذاك، لم يُحاكم تشين أو يُدان بأي جريمة. ^{[ 43 ]}

في أعقاب الأضرار التي سببها فيروس CIH، أصبح بعض مستخدمي الحاسوب شديدي الحذر من الفيروسات، وعرضةً لشائعات الفيروسات. انتشرت شائعة في سوريا تحذر من فيروس مدمر كان من المقرر أن يصيب المنطقة في الأول من يونيو/حزيران عام 1999، لكن لم يحدث شيء. ساهمت التقارير الإعلامية في تأجيج الوضع، حيث حذرت الصحف الحكومية الرسمية من " فيروس الإيدز 2 المُرسل عبر الإنترنت"، على الرغم من أن فيروس الإيدز 2 كان فيروسًا قديمًا لنظام MS-DOS يعود تاريخه إلى عام 1989. تضمنت التقارير ادعاءات خيالية مثل انتشاره عالميًا عبر البريد الإلكتروني وقدرته على تدمير رقائق الذاكرة، ومحركات الأقراص، وبطاقات التوسعة، وحتى مكبرات الصوت. ^{[ 23 ]}

من ناحية أخرى، كان لعدوى CIH بعض الفوائد، إذ ساهمت في رفع مستوى الوعي، مما حفز الشركات على إعطاء الأولوية لإجراءات النسخ الاحتياطي عالية الجودة لبياناتها الحيوية، ونشر برامج مكافحة الفيروسات وسياسات مكافحة الفيروسات لحماية موظفيها ومواردها. ^{[ 23 ]}

أدى الانتقال العالمي من أنظمة تشغيل ويندوز 9x إلى ويندوز إكس بي، الذي صدر عام 2001، إلى تقليل فعالية العديد من فيروسات الحاسوب بشكل ملحوظ، وذلك بفضل توفير حماية أمنية أقوى وبنية نظام أكثر متانة. صُممت أنظمة ويندوز 9x مع التركيز على التوافق مع تطبيقات MS-DOS وويندوز 3.1 القديمة، مما سمح لتطبيقات المستخدم العادي بالوصول إلى موارد النظام على نطاق واسع، وأحيانًا بتعديل هياكل نظام التشغيل منخفضة المستوى. ^{[ 44 ] [ 45 ]} في المقابل، استند ويندوز إكس بي إلى بنية ويندوز إن تي، التي فرضت فصلًا أكثر صرامة بين تطبيقات المستخدم ونواة نظام التشغيل، مما منع تطبيقات المستخدم من تعديل مكونات النظام الحيوية بشكل مباشر. قلل هذا التغيير في التصميم من سهولة تثبيت البرامج الضارة لمكونات مقيمة في الذاكرة، واعتراض عمليات النظام، والوصول غير المقيد إلى الأجهزة، كما منع الفيروسات القديمة من العمل. ^{[ 45 ]}

قبل ظهور ثغرة CIH، نوقشت المخاطر المحتملة للسماح للبرامج بالكتابة إلى رقائق BIOS الفلاشية، لكن لم يُستغل هذا الثغرة بنجاح لإحداث ضرر. ^{[ 4 ]} كانت CIH أول فيروس يُثبت قدرته على تدمير BIOS في جهاز كمبيوتر. ^{[ 46 ]} في ذلك الوقت، لم تكن تحديثات البرامج الثابتة مُوثقة تشفيرياً، لذا كان بإمكان أي مبرمج يعرف كيفية الوصول إلى واجهة برمجة BIOS الفلاشية كتابة ما يشاء. غالباً ما كان الوصول للكتابة إلى رقاقة BIOS مقيداً من خلال تسلسلات أوامر غير موثقة تُتيح الكتابة إلى الرقاقة. مع ذلك، بمجرد أن يكتشف المبرمج التسلسل المطلوب من خلال وثائق الشركة المصنعة، يُمكنه بسهولة مشاركة هذه المعرفة مع الآخرين. ^{[ 43 ]} في عام 2009، أصدر المعهد الوطني للمعايير والتكنولوجيا (NIST) مسودة المنشور الخاص 800-147، الذي وضع إرشادات لتحديثات BIOS الموقعة تشفيرياً والمصممة لمنع التعديل غير المصرح به للبرامج الثابتة. ^{[ 47 ]}