一個大學生寫的1KB病毒，為何讓60萬臺電腦變磚

1999年4月26日，全球數十萬Windows電腦在同一時刻"死亡"——硬盤被清空，主板BIOS被刷入亂碼。這場災難的源頭，竟是一個臺灣大學生出于"技術實驗"寫出的1KB小程序。

這個叫CIH的病毒，后來有了更廣為人知的名字："切爾諾貝利"。不是因為它的破壞力堪比核事故，純粹是觸發日期撞上了1986年切爾諾貝利核泄漏的紀念日。

藏在縫隙里的1KB幽靈

陳盈豪，大同大學學生，1998年寫出了CIH。他的核心創新是一種"空間填充"技術——病毒不附著在文件末尾，而是鉆進可執行文件（EXE）代碼段之間的空隙。

傳統病毒會膨脹文件體積，殺毒軟件靠監控文件大小變化就能發現。CIH反其道而行：它把約1KB的載荷拆成碎片，塞進Windows可移植可執行文件（PE文件）的閑置間隙。感染后的文件大小完全不變，當時的主流殺毒工具集體失效。

更隱蔽的是傳播機制。CIH利用漏洞從處理器環3（用戶態）躍升到環0（內核態），獲得系統最高權限后，劫持文件系統調用。用戶每打開一個EXE，病毒就悄無聲息地感染它。整個過程無彈窗、無卡頓、無痕跡。

但它有個致命局限：只針對Windows 95、98、ME?；贜T架構的系統（包括后來的Windows 2000/XP）完全免疫。這個技術邊界，也暗示了微軟后來徹底拋棄DOS內核的決策邏輯。

1999年4月26日：定時引爆

CIH的破壞分兩層。第一層是數據層：觸發日到來時，病毒用亂碼覆蓋硬盤前2048個扇區，包括主引導記錄（MBR）。普通用戶的數據恢復手段幾乎全部失效。

第二層更狠——硬件層攻擊。CIH直接向主板BIOS芯片刷入垃圾數據。當時的BIOS采用可擦寫閃存，但刷新機制缺乏保護驗證。一旦BIOS被破壞，電腦連開機自檢都無法完成，屏幕漆黑，風扇空轉，變成真正的"磚頭"。

修復需要拆機，用編程器重新燒錄BIOS芯片，或者找廠商更換主板。對普通用戶而言，這等同于整機報廢。

據估計，CIH感染了約6000萬臺電腦，造成約4000萬美元商業損失。但真實數字難以核實——許多受害者來自盜版軟件渠道，根本不會公開報案。

盜版光盤：病毒的高速公路

CIH的全球擴散，本質是1990年代末軟件分發體系的漏洞暴露。

1998年夏天，病毒通過盜版軟件渠道大規模傳播。但諷刺的是，部分感染源來自"正規"商業軟件——當時光盤刻錄廠的母盤被污染，正版軟件反而成了傳播媒介。這種供應鏈攻擊的模式，二十多年后仍在被高級持續威脅（APT）組織使用。

陳盈豪本人從未被起訴。臺灣當時缺乏針對計算機犯罪的法律條款，他的行為被定性為"學術實驗"。事后他公開道歉，并協助殺毒軟件公司開發專殺工具。這個結局與后來各國對黑客的嚴厲追訴形成鮮明對比。

為什么現代惡意軟件不再這樣干？

CIH的破壞模式在今天幾乎絕跡，不是因為黑客變仁慈了，而是技術架構和犯罪經濟學的雙重轉變。

硬件層面，現代BIOS/UEFI有寫保護機制，系統運行時不允許隨意刷新固件。操作系統層面，Windows Vista后引入的用戶賬戶控制（UAC）、驅動簽名強制、PatchGuard內核保護，讓環0級別的任意代碼執行變得極其困難。

但更深層的原因是：破壞硬件對攻擊者沒有收益。

CIH時代，病毒制造者的動機多為技術炫耀或報復社會。而當代惡意軟件產業高度專業化——勒索軟件要留活口才能收贖金，挖礦木馬需要長期潛伏榨取算力，APT組織追求隱蔽持久而非瞬間破壞。把電腦變磚，等于燒毀自己的資產。

CIH的"自我毀滅"設計，恰恰證明它誕生于犯罪產業化之前。一個有趣的對比：2024年發現的"CanisterWorm"蠕蟲，會按時區精準清除伊朗機器數據，但攻擊者至今未提出任何勒索或政治訴求——這種"無目的破壞"反而讓安全分析師困惑，因為它違背了現代威脅的基本邏輯。

遺留的幽靈：空間填充技術為何重生？

CIH最核心的技術創新——空間填充（Space Filling）——并未隨病毒本身消亡。

2024年曝光的"Zombie ZIP"漏洞，利用ZIP文件格式的解析差異，讓惡意代碼藏身于壓縮包的結構縫隙中。測試顯示，95%的殺毒軟件套件被繞過。這與CIH二十五年前的手法如出一轍：不是加密躲藏，而是利用文件格式的"灰色地帶"。