2021年13种常见恶意软件类型：威胁、案例与防范指南

恶意软件（即恶意程序）是指为损害设备和数据而编写的任何程序。其创建有特定目的，虽目的仅受创作者想象力限制，但大多数旨在窃取数据、凭证和支付信息。

恶意软件攻击可发生在各类设备和操作系统上，包括iPhone、Android手机、MacBook、Windows PC甚至Linux。

据SonicWall Capture Labs统计，每年恶意软件攻击超50亿次，约92%通过邮件投递。近年移动端和macOS恶意软件量剧增。

目前每周任何时刻都有超1800万网站感染恶意代码，34%企业遭受恶意软件攻击，80%金融机构每年被恶意软件瞄准。

随着机器学习和定向鱼叉式钓鱼邮件的出现，恶意软件攻击变得更复杂、更难识别。

因此识别可能影响个人或企业数据的各类恶意软件至关重要。下文列出广泛用于攻击企业和政府网站以窃取敏感信息、破坏运营的13种恶意软件类型，各有独特行为特征。

13. 蠕虫

Blaster蠕虫十六进制转储

案例：Conficker（影响190多国家的家庭和办公Windows电脑）

蠕虫可在无人为干预下在设备间传播/自我复制，无需依附应用程序即可造成破坏。

它可能作为即时消息或垃圾邮件附件到达，或利用软件漏洞传播。一旦安装即在后台静默运行，用户毫不知情。

它能修改/删除现有文件或向操作系统注入恶意代码，便于攻击者植入后门、窃取数据、控制设备及系统设置。

部分蠕虫专门耗尽系统资源，疯狂复制自身耗尽存储空间或带宽，瘫痪共享网络。

因无需宿主程序，蠕虫比普通病毒更具传染性，不只感染本地机器，还波及网络服务器和客户端。

著名案例“ILOVEYOU”（又称“爱虫”）于2000年感染超5000万Windows PC，因能访问Outlook通讯录并向所有地址发送副本而野火燎原般传播。

12. 键盘记录器

案例：Backdoor.Coreflood（记录每个按键并发送给攻击者）

键盘记录器可为软件或硬件设备，旨在秘密监控并记录所有按键，生成文件存储以便日后检索。

多数记录按键时长和速度，部分还记录剪贴板复制/粘贴内容、GPS数据、通话、麦克风和摄像头画面。

多数用于合法目的（如软件开发反馈、击键动力学研究、人机交互研究），但用于有害目的时即成为恶意软件。

攻击者可在用户不知情下安装键盘记录器窃取敏感信息、密码、财务数据。无论出于恶意还是合法用途，均须知晓键盘记录器从设备采集的数据。

11. Rootkit

案例：Stuxnet（据报毁坏伊朗1/5核离心机，感染20万工控电脑，导致1000台机器物理退化）

Rootkit是一组恶意工具，赋予对软件或整个操作系统的未授权访问，设计为在目标机器上隐蔽驻留。你可能察觉不到，但它们在后台活跃，让攻击者远程控制你的设备。

Rootkit可包含多种程序：从窃取密码和银行信息的脚本，到禁用安全软件、记录所有击键的模块。

因能禁用机器上的安全软件，Rootkit极难检测，可潜伏数周甚至数月造成巨大破坏。

可通过备用可靠操作系统、差异扫描、签名扫描、内存转储分析、基于行为的方法检测。

清除困难甚至不可能，尤其是隐藏在内核中的Rootkit。此时唯一彻底清除办法是擦除一切并重装操作系统。固件Rootkit更棘手——可能需更换硬件部件。

10. 无文件恶意软件

案例：WannaMine（在宿主设备挖掘加密货币）

无文件恶意软件于2017年成为主流攻击类型。它们滥用Windows内置程序（特别是PowerShell——微软的任务自动化和配置管理工具）执行攻击。

此类恶意软件不直接存储或安装在设备上，而是直入内存（RAM），恶意代码从未接触辅助存储（SSD/HDD）。

顾名思义，它们不依赖文件、不留痕迹——无可执行文件意味着杀毒工具无签名或模式可检测。

无文件恶意软件能有效规避基于签名检测、模式分析、时间戳、基于文件的白名单、硬件验证等反计算机取证策略，虽可被现代复杂安全方案检出。

因仅在RAM运行，其生命周期仅持续至系统重启。

9. 广告软件

案例：Appearch（在浏览器植入过多广告使冲浪几乎不可能）

广告软件（广告支持软件）在电脑/手机屏幕展示广告、重定向搜索结果至广告站点、追踪用户数据用于营销。

主要目的是在用户安装应用或浏览网页时投放广告获利。

有时“广告软件”指呈现烦人广告的恶意工具，形式包括弹窗、横幅、静态框、不可关闭窗口、有声视频等。

虽不危险有害，但能让电脑极度卡顿。单页过多广告会让浏览器无响应，尤其在老旧设备上。

除拖慢系统，部分广告软件还设计收集用户数据和行为：浏览历史、搜索查询、网页停留时长、购买记录、IP地址、设备信息等。

8. 恶意机器人

案例：Srizbi（截至2008年，它是最大僵尸网络，发送超50%所有垃圾邮件，超其他主要僵尸网络总和）

互联网机器人（网络机器人）旨在通过互联网运行自动化任务（脚本），能高效执行简单重复任务（如从数十亿网页采集数据）。机器学习技术催生出能模拟人类行为的更复杂机器人。

但攻击者早已意识到机器人潜力并将其用于有害目的。如今相当大比例机器人用于窃取用户数据和密码。

恶意机器人可感染大量设备，形成僵尸网络。僵尸网络可用于DDoS攻击、发送垃圾邮件、窃取数据，甚至允许攻击者访问设备及其连接、压垮服务器至崩溃。

因僵尸网络占用空间小，用户可能永不知设备被用作中转垃圾邮件的僵尸节点。但设备可能出现性能迟缓、无明显原因频繁崩溃、网络访问缓慢等症状。

7. 犯罪软件

案例：通过SMTP发送的定向攻击

犯罪软件是将网络犯罪自动化、使在线非法活动更容易的计算机程序。旨在自动化数据窃取，帮攻击者访问人们在线财务账户。

攻击者通过犯罪软件用多种技术窃取机密数据：如用脚本重定向用户浏览器至伪造网站、窃取系统缓存的密码、启用远程访问应用、加密设备所有数据、秘密安装击键记录器。

网络犯罪也借鉴云计算行业推出“即服务”模式。

犯罪软件即服务允许专业化分工：无人需懂一切，整个流程更高效。例如，不再由单一攻击者运营整个恶意操作，角色可分散给多个攻击者分工协作、分利。团队可包括编写恶意脚本的开发者、制作邮件列表的人、处理客服（勒索软件）的人、将有价值数据或货币转化为不可追踪利润的人。

6. 内存刮取器

案例：BlackPOS（2013年窃取9600万客户个人信息）

内存刮取器扫描受感染设备主存以窃取机密数据。因针对处理零售交易的终端，也称POS（销售点）攻击。

支付卡行业使用数据安全标准（PCI-DSS），要求敏感信息端到端加密。敏感支付数据在POS的RAM中解密处理，内存刮取恶意软件即在此下手。它利用正则表达式搜索收集明文支付数据，再发送至流氓回传服务器。

首例内存刮取攻击由Visa于2008年报告。

仅磁条卡易受此类恶意软件攻击。磁条含三条数据磁道：磁道1、2、3。内存刮取器用表达式匹配从POS终端主存获取磁道1和2数据。少数刮取器用Luhn算法在外泄前验证卡有效性。

5. 后门

案例：Titanium（包含复杂的投放、下载、安装页面序列，最终部署特洛伊木马后门）

后门是绕过计算机或嵌入式设备常规认证或加密程序的隐蔽技术，授予系统或应用（如数据库、文件服务器）访问权，赋予网络犯罪者远程控制系统和更新恶意软件的能力。

通常通过利用应用中的脆弱模块实现后门植入。如过时插件和默认密码若长期未更新/修改，可作为后门。

小企业特别易受后门攻击，因缺乏资金保护电脑或识别成功攻击。超40%网络攻击瞄准小企业。

与内存刮取器等不同，后门不会很快消失。据Malwarebytes Labs报告，后门是消费者和企业五大最常见威胁检出之一。

4. 勒索软件

WannaCry勒索软件在受感染系统上的勒索通知（2017）

案例：WannaCry（针对Windows PC加密文件并要求以比特币支付300-600美元赎金）

勒索软件加密受害者个人数据或阻断访问。视类型而定，加密单个文件或整个操作系统。

攻击者随后索要赎金以恢复访问，通常设截止日期。逾期不付则永久删除数据或涨赎金。

攻击者指导受害者如何支付获取解密密钥。费用从几百美元到数百万美元不等，要求用比特币等加密货币支付，增加追踪起诉难度。

最新全球研究显示，35%企业支付35万-140万美元赎金，7%支付超140万美元。

攻击者多针对高校和小企业（因更可能快速付款），也盯上医疗机构、律所、政府机关（因愿付费立即恢复文件访问或隐瞒妥协消息）。

3. 间谍软件

案例：DarkHotel（通过酒店WiFi网络选择性攻击高调访客）

间谍软件安装在设备上，在用户不知情、未授权下隐蔽追踪在线行为。

这类恶意软件秘密收集用户或企业数据并发送给营销广告公司等第三方。通常通过欺骗性弹窗、偷渡下载、注入合法软件的隐藏恶意代码等方式在用户不知情下安装。

安装后可监控上网活动、追踪登录凭证、窥探个人信息。主要目标：信用卡号、用户名、密码、银行信息。

此类恶意软件难检测。受感染设备表现为连接速度、响应性、电池寿命显著下降。

最著名间谍软件Pegasus能追踪通话、读取短信、定位追踪、访问目标设备摄像头和麦克风、收集应用密码和数据。其危险性在于可通过零点击漏洞安装在Android和iOS智能手机上。

2. 特洛伊木马

案例：Wirenet（窃取密码的特洛伊木马，针对macOS、Linux、Windows、Solaris用户）

特洛伊木马伪装成有用工具实则危害电脑，可隐藏在下载文件和邮件中。

诱骗用户下载并执行恶意程序。安装后可破坏、窃取或对用户数据和网络实施其他有害行为。

与病毒不同，特洛伊木马无法自我复制，需用户下载安装服务端应用才能生效。系统感染后可向其他设备传播恶意软件。

受感染机器可被攻击者在所有者不知情下远程控制，将其变为僵尸电脑继续在网络设备间传播恶意代码。

视特洛伊木马类型和目的，恶意软件可能自我销毁、重新休眠或持续活跃。

例如Zeus特洛伊木马专窃取用户数据和银行信息，针对Windows用户。2007年首次被识别（攻击美交通部），2009年广泛传播，感染超7.4万FTP账号，涉及Amazon、NASA、Cisco、美国银行等众多知名网站。

1. 病毒

案例：Brain（首个针对IBM PC及兼容机的计算机病毒）

计算机病毒是故意编写的恶意脚本，未经所有者许可获取计算机访问权。主要目的窃取或破坏计算机数据。

大多数系统因程序Bug、操作系统漏洞、不良安全实践感染病毒。据AV-Test统计，每天检出约56万新恶意软件样本。

计算机病毒可按来源、传播能力、存储位置、感染文件、破坏性分类。深入了解这些病毒如何运作。

1. 引导区病毒

案例：Form、Disk Killer、Stone病毒、Polyboot.B
可影响：进入主存后的任何文件

引导区病毒感染存储设备的主引导记录（MBR）。任何介质（无论可引导与否）均可触发。病毒将代码注入硬盘分区表，重启后进入主存。

常见问题：引导故障、系统性能不稳、无法定位硬盘。

因可加密引导区，清除困难。多数用户直到杀毒扫描才知感染。

随软盘衰退此类病毒已罕见。现代操作系统内置引导区防护，难以定位MBR。

防护：确保磁盘写保护。勿在连接未知外部磁盘时启动/重启电脑。

2. 直接行动病毒

案例：病毒构建实验室创建的VCL.428
可影响：所有.exe和.com扩展名文件

直接行动病毒快速进入主存，感染Autoexec.bat路径定义的所有程序/文件/文件夹，然后自我删除。也可破坏硬盘或连接USB上的数据。

通常在包含其的文件被执行时传播。只要不运行/打开文件，就不会扩散到设备其他部分或网络。

虽位于硬盘根目录，但每次执行可改变位置。多不删除系统文件但降低整体性能。

防护：使用杀毒扫描器。直接行动病毒易检测，所有受感染文件可完全恢复。

3. 覆盖型病毒

案例：Grog.377、Grog.202/456、Way、Loveletter
可影响：任何文件

覆盖型病毒极危险，影响Windows、DOS、Macintosh、Linux等广泛系统。它们部分或完全删除数据并用自身代码替换原代码。

替换文件内容不改变文件大小。一旦感染文件无法恢复，数据全部丢失。

此类病毒不仅让应用失效，执行时还能加密窃取数据。

虽曾高效，攻击者不再使用，转而用真实特洛伊木马诱骗用户、通过邮件分发恶意代码。

防护：唯一办法删除所有受感染文件，故最好保持杀毒程序更新，尤其是Windows用户。

4. Web脚本病毒

案例：DDoS、JS.fornight

可影响：通过在页头、页脚或根访问文件注入隐藏代码的任何网页

Web脚本病毒突破浏览器安全，允许攻击者向网页注入客户端脚本。传播速度超常规病毒。

突破浏览器安全后，注入恶意代码篡改设置、劫持浏览器。通常借助网页弹出的受感染广告传播。

主要针对社交网站。部分威力强大到能发送垃圾邮件、发起DDoS攻击使服务器无响应或极度缓慢。

可分两类：

• 持久型Web脚本病毒：可冒充用户造成巨大破坏。
• 非持久型Web脚本病毒：在用户不知情下攻击，后台运行永隐形。

防护：使用Windows恶意软件移除工具、禁用脚本、使用Cookie安全或安装浏览器实时防护软件。

5. 目录病毒

案例：Dir-2
可影响：目录下整个程序

目录病毒（簇病毒）通过改变DOS目录信息感染文件。它修改DOS使其指向病毒代码而非原程序。

具体为：向簇注入恶意代码并在FAT中标记为已分配，保存首簇并用其定位下一个要感染文件的相关簇。

运行程序时，DOS先加载执行病毒代码再运行实际程序代码。即你不知不觉运行病毒程序，原程序已被病毒移走。感染后极难定位原文件。

防护：安装杀毒软件重定位错位文件。

6. 多态病毒

案例：Whale、Simile、SMEG引擎、UPolyX
可影响：任何文件

多态病毒每次感染程序或复制自身时用不同加密密钥编码自身。因密钥不同，杀毒软件极难发现。

此类病毒依赖变异引擎每次感染设备时改变解密例程。使用生成数十亿解密例程的复杂变异引擎，检测更难。

换言之，它是设计用于逃避扫描器检测的自加密病毒。

首个已知多态病毒“1260”由Mark Washburn于1990年创建，执行时感染当前或PATH目录下的.com文件。

防护：安装配备新安全技术（如机器学习算法、基于行为分析）的高级杀毒工具以检测威胁。

7. 驻留型病毒

案例：Randex、Meve、CMJ
可影响：PC上当前运行的文件以及正在复制或重命名的文件

驻留型病毒驻留主存（RAM），开机即激活，影响桌面所有当前运行文件。

因将复制模块加载入主存，可在未执行情况下感染文件。操作系统加载或执行特定功能时自动激活。

两类驻留型病毒：

• 快速感染器：专门尽快破坏尽可能多文件。因不良影响极易被发现。
• 慢速感染器：逐渐降低电脑性能。因能长期隐蔽，传播更广。

防护：强力杀毒工具可从内存清除病毒。可能以操作系统补丁或杀毒软件更新形式提供。

若走运，杀毒软件可能有扩展/插件可下载至USB闪存盘运行以从内存清除病毒。否则可能需重新格式化机器并从可用备份恢复。

8. 宏病毒

案例：Bablas、Concept、Melissa病毒
可影响：.mdb、.PPS、.Doc、.XLs文件

此类病毒用Microsoft Excel和 Word等流行软件相同的宏语言编写。在与电子表格、文档、其他数据文件关联的宏中插入恶意代码，导致打开文档即运行受感染程序。

宏病毒旨在破坏数据、插入文字图片、移动文本、发送文件、格式化硬盘、投放更具破坏性的恶意软件。通过钓鱼邮件传播，主要针对MS Excel、Word、PowerPoint文件。

因针对应用而非操作系统，可感染运行任何操作系统的计算机，甚至Linux和macOS。

防护：禁用宏、不打开不明来源邮件。也可安装易于检测宏病毒的现代杀毒软件。

9. 伴随病毒

案例：Stator、Terrax.1096
可影响：所有.exe文件

伴随病毒在MS-DOS时代更流行。不同于常规病毒，不修改现有文件，而是创建不同扩展名（如.com）的文件副本，与实际程序并行运行。

例如存在abc.exe文件，病毒创建隐藏文件abc.com。系统调用“abc”文件时，.com（优先级更高扩展名）先于.exe运行。可执行删除原文件等恶意步骤。

多数情况下伴随病毒需人为干预进一步感染机器。Windows XP到来后不再多用MS-DOS接口，此类病毒传播途径减少。

但在近期Windows版本上仍可工作，特别是用户无意打开文件时，尤其是“显示文件扩展名”选项关闭时。

防护：因额外.com文件存在易检测。安装可靠杀毒软件、避免下载未经请求邮件附件。

10. 多部分病毒

案例：Ghostball、Invader
可影响：文件和引导区

多部分病毒视操作系统以多种方式感染传播。通常驻留内存并感染硬盘。

不同于仅影响引导区或程序文件的病毒，多部分病毒同时攻击引导区和可执行文件，破坏更大。

一旦进入系统，通过篡改应用内容感染所有驱动器。很快出现性能滞后、用户应用可用虚拟内存偏低。

首个报告的多部分病毒“Ghostball”于1989年被检出，互联网早期传播有限。但现全球超46.6亿活跃互联网用户，多部分病毒对企业和消费者构成严重威胁。

防护：存储新数据前清理引导区和整个磁盘。不打开非可信网络来源附件，安装正规可信杀毒工具。

11. FAT病毒

案例：链接病毒
可影响：任何文件

FAT即文件分配表，存储磁盘上存储信息的区域：所有文件位置、总容量、可用空间、已用空间等。

FAT病毒篡改索引导致计算机无法分配文件，强制格式化整个磁盘。

换言之，病毒不修改宿主文件，而是强迫操作系统执行恶意代码修改FAT文件系统特定字段，阻止计算机访问存放重要文件的硬盘特定扇区。

随感染扩散，多个文件甚至整个目录被覆盖永久丢失。

防护：避免从非可信来源下载文件，尤其是浏览器或搜索引擎标识为“攻击/不安全网站”的。使用强效杀毒软件。

其他非病毒但同等危险的恶意软件

12. 特洛伊木马

案例：ProRat、ZeroAccess、Beast、Netbus、Zeus

特洛伊木马（特洛伊）是非复制型恶意软件，外观合法。用户通常被诱骗加载执行。可破坏/修改所有文件、修改注册表、崩溃电脑，甚至给黑客远程访问权限。

通常通过社会工程学传播：如诱骗用户点击虚假广告、打开伪装成真实的邮件附件。

防护：避免打开未知文件（尤其是附件扩展名如.exe、.bat、.vbs）。使用可靠高端杀毒软件并定期更新。

13. 蠕虫

Blaster蠕虫十六进制转储，显示留给时任微软CEO比尔·盖茨的信息

案例：Code red、ILOVEYOU、Morris、Nimda、Sober、WANK

蠕虫是独立恶意程序，自我复制以传播到其他计算机。依赖网络（多为邮件）和安全漏洞在系统间游走。不同于病毒，通过复制或发送过多数据（过度使用带宽）过载网络，迫使主机关闭服务器。

蠕虫可在无人为交互下自我复制，无需依附应用即可造成破坏。

多数蠕虫设计用于修改内容、删除文件、耗尽系统资源、向计算机注入额外恶意代码。也可窃取数据、安装后门，便于攻击者控制机器及系统设置。

防护：保持操作系统更新，确保使用强安全软件方案。

14. 逻辑炸弹

逻辑炸弹非病毒但像蠕虫和病毒一样本质恶意。是故意插入（隐藏）软件程序的代码片段。满足特定条件时执行。

例如，破解者可在任何浏览器扩展中插入键盘记录器代码。每次访问登录页代码激活，捕获所有击键窃取用户名密码。

逻辑炸弹可插入现有软件或蠕虫、病毒、特洛伊木马等其他恶意软件中。潜伏至触发条件出现，可隐蔽数年。

防护：定期扫描所有文件（含压缩文件），保持杀毒软件更新。

常见问题解答

最早的计算机病毒何时创建？

首个计算机病毒（名为Creeper）由Bob Thomas于1971年在BBN Technologies编写。Creeper是无恶意意图的实验性自我复制程序，仅显示简单信息：“I’m creeper. Catch me if you can!”

谁创建了首个PC病毒？

1986年，Amjad Farooq Alvi和Basit Farooq Alvi编写引导区病毒“Brain”以阻止其软件被未授权复制。“Brain”被视为首个针对IBM PC及兼容机的计算机病毒。

专门针对Microsoft Windows的首个病毒是WinVir，1992年发现。未包含Windows API调用，而是依赖DOS API。

史上代价最高的网络攻击是什么？

迄今最具破坏性的恶意软件是MyDoom。2004年1月首现，成为史上传播最快的邮件蠕虫。它创建网络开口允许攻击者访问受感染机器。

2004年近四分之一邮件被MyDoom感染。估计造成超380亿美元损失。