14种常见计算机病毒类型详解：保护系统安全指南（2021更新）

计算机病毒是故意编写以在未经所有者许可下获取计算机访问权的恶意程序。此类程序主要旨在窃取或破坏计算机数据。

大多数系统因程序Bug、操作系统漏洞、不良安全实践感染病毒。据独立分析评测杀毒和安全套件软件的AV-Test统计，每天检出约56万新恶意软件样本。

计算机病毒可按来源、传播能力、存储位置、感染文件、破坏性分类。深入了解这些病毒如何运作。

1. 引导区病毒

案例：Form、Disk Killer、Stone病毒、Polyboot.B
可影响：进入主存后的任何文件

引导区病毒感染存储设备的主引导记录（MBR）。任何介质（无论可引导与否）均可触发。病毒将代码注入硬盘分区表，重启后进入主存。

常见问题：引导故障、系统性能不稳、无法定位硬盘。

因可加密引导区，清除困难。多数用户直到杀毒扫描才知感染。

随软盘衰退此类病毒已罕见。现代操作系统内置引导区防护，难以定位MBR。

防护：确保磁盘写保护。勿在连接未知外部磁盘时启动/重启电脑。

2. 直接行动病毒

案例：病毒构建实验室创建的VCL.428
可影响：所有.exe和.com扩展名文件

直接行动病毒快速进入主存，感染Autoexec.bat路径定义的所有程序/文件/文件夹，然后自我删除。也可破坏硬盘或连接USB上的数据。

通常在包含其的文件被执行时传播。只要不运行/打开文件，就不会扩散到设备其他部分或网络。

虽位于硬盘根目录，但每次执行可改变位置。多不删除系统文件但降低整体性能。

防护：使用杀毒扫描器。直接行动病毒易检测，所有受感染文件可完全恢复。

3. 覆盖型病毒

案例：Grog.377、Grog.202/456、Way、Loveletter
可影响：任何文件

覆盖型病毒极危险，影响Windows、DOS、Macintosh、Linux等广泛系统。它们部分或完全删除数据并用自身代码替换原代码。

替换文件内容不改变文件大小。一旦感染文件无法恢复，数据全部丢失。

此类病毒不仅让应用失效，执行时还能加密窃取数据。

虽曾高效，攻击者不再使用，转而用真实特洛伊木马诱骗用户、通过邮件分发恶意代码。

防护：唯一办法删除所有受感染文件，故最好保持杀毒程序更新，尤其是Windows用户。

4. Web脚本病毒

案例：DDoS、JS.fornight

可影响：通过在页头、页脚或根访问文件注入隐藏代码的任何网页

Web脚本病毒突破浏览器安全，允许攻击者向网页注入客户端脚本。传播速度超常规病毒。

突破浏览器安全后，注入恶意代码篡改设置、劫持浏览器。通常借助网页弹出的受感染广告传播。

主要针对社交网站。部分威力强大到能发送垃圾邮件、发起DDoS攻击使服务器无响应或极度缓慢。

可分两类：

• 持久型Web脚本病毒：可冒充用户造成巨大破坏。
• 非持久型Web脚本病毒：在用户不知情下攻击，后台运行永隐形。

防护：使用Windows恶意软件移除工具、禁用脚本、使用Cookie安全或安装浏览器实时防护软件。

5. 目录病毒

案例：Dir-2
可影响：目录下整个程序

目录病毒（簇病毒）通过改变DOS目录信息感染文件。它修改DOS使其指向病毒代码而非原程序。

具体为：向簇注入恶意代码并在FAT中标记为已分配，保存首簇并用其定位下一个要感染文件的相关簇。

运行程序时，DOS先加载执行病毒代码再运行实际程序代码。即你不知不觉运行病毒程序，原程序已被病毒移走。感染后极难定位原文件。

防护：安装杀毒软件重定位错位文件。

6. 多态病毒

案例：Whale、Simile、SMEG引擎、UPolyX
可影响：任何文件

多态病毒每次感染程序或复制自身时用不同加密密钥编码自身。因密钥不同，杀毒软件极难发现。

此类病毒依赖变异引擎每次感染设备时改变解密例程。使用生成数十亿解密例程的复杂变异引擎，检测更难。

换言之，它是设计用于逃避扫描器检测的自加密病毒。

首个已知多态病毒“1260”由Mark Washburn于1990年创建，执行时感染当前或PATH目录下的.com文件。

防护：安装配备新安全技术（如机器学习算法、基于行为分析）的高级杀毒工具以检测威胁。

7. 驻留型病毒

案例：Randex、Meve、CMJ
可影响：PC上当前运行的文件以及正在复制或重命名的文件

驻留型病毒驻留主存（RAM），开机即激活，影响桌面所有当前运行文件。

因将复制模块加载入主存，可在未执行情况下感染文件。操作系统加载或执行特定功能时自动激活。

两类驻留型病毒：

• 快速感染器：专门尽快破坏尽可能多文件。因不良影响极易被发现。
• 慢速感染器：逐渐降低电脑性能。因能长期隐蔽，传播更广。

防护：强力杀毒工具可从内存清除病毒。可能以操作系统补丁或杀毒软件更新形式提供。

若走运，杀毒软件可能有扩展/插件可下载至USB闪存盘运行以从内存清除病毒。否则可能需重新格式化机器并从可用备份恢复。

8. 宏病毒

案例：Bablas、Concept、Melissa病毒
可影响：.mdb、.PPS、.Doc、.XLs文件

此类病毒用Microsoft Excel和 Word等流行软件相同的宏语言编写。在与电子表格、文档、其他数据文件关联的宏中插入恶意代码，导致打开文档即运行受感染程序。

宏病毒旨在破坏数据、插入文字图片、移动文本、发送文件、格式化硬盘、投放更具破坏性的恶意软件。通过钓鱼邮件传播，主要针对MS Excel、Word、PowerPoint文件。

因针对应用而非操作系统，可感染运行任何操作系统的计算机，甚至Linux和macOS。

防护：禁用宏、不打开不明来源邮件。也可安装易于检测宏病毒的现代杀毒软件。

9. 伴随病毒

案例：Stator、Terrax.1096
可影响：所有.exe文件

伴随病毒在MS-DOS时代更流行。不同于常规病毒，不修改现有文件，而是创建不同扩展名（如.com）的文件副本，与实际程序并行运行。

例如存在abc.exe文件，病毒创建隐藏文件abc.com。系统调用“abc”文件时，.com（优先级更高扩展名）先于.exe运行。可执行删除原文件等恶意步骤。

多数情况下伴随病毒需人为干预进一步感染机器。Windows XP到来后不再多用MS-DOS接口，此类病毒传播途径减少。

但在近期Windows版本上仍可工作，特别是用户无意打开文件时，尤其是“显示文件扩展名”选项关闭时。

防护：因额外.com文件存在易检测。安装可靠杀毒软件、避免下载未经请求邮件附件。

10. 多部分病毒

案例：Ghostball、Invader
可影响：文件和引导区

多部分病毒视操作系统以多种方式感染传播。通常驻留内存并感染硬盘。

不同于仅影响引导区或程序文件的病毒，多部分病毒同时攻击引导区和可执行文件，破坏更大。

一旦进入系统，通过篡改应用内容感染所有驱动器。很快出现性能滞后、用户应用可用虚拟内存偏低。

首个报告的多部分病毒“Ghostball”于1989年被检出，互联网早期传播有限。但现全球超46.6亿活跃互联网用户，多部分病毒对企业和消费者构成严重威胁。

防护：存储新数据前清理引导区和整个磁盘。不打开非可信网络来源附件，安装正规可信杀毒工具。

11. FAT病毒

案例：链接病毒
可影响：任何文件

FAT即文件分配表，存储磁盘上存储信息的区域：所有文件位置、总容量、可用空间、已用空间等。

FAT病毒篡改索引导致计算机无法分配文件，强制格式化整个磁盘。

换言之，病毒不修改宿主文件，而是强迫操作系统执行恶意代码修改FAT文件系统特定字段，阻止计算机访问存放重要文件的硬盘特定扇区。

随感染扩散，多个文件甚至整个目录被覆盖永久丢失。

防护：避免从非可信来源下载文件，尤其是浏览器或搜索引擎标识为“攻击/不安全网站”的。使用强效杀毒软件。

其他非病毒但同等危险的恶意软件

12. 特洛伊木马

案例：ProRat、ZeroAccess、Beast、Netbus、Zeus

特洛伊木马（特洛伊）是非复制型恶意软件，外观合法。用户通常被诱骗加载执行。可破坏/修改所有文件、修改注册表、崩溃电脑，甚至给黑客远程访问权限。

通常通过社会工程学传播：如诱骗用户点击虚假广告、打开伪装成真实的邮件附件。

防护：避免打开未知文件（尤其是附件扩展名如.exe、.bat、.vbs）。使用可靠高端杀毒软件并定期更新。

13. 蠕虫

Blaster蠕虫十六进制转储，显示留给时任微软CEO比尔·盖茨的信息

案例：Code red、ILOVEYOU、Morris、Nimda、Sober、WANK

蠕虫是独立恶意程序，自我复制以传播到其他计算机。依赖网络（多为邮件）和安全漏洞在系统间游走。不同于病毒，通过复制或发送过多数据（过度使用带宽）过载网络，迫使主机关闭服务器。

蠕虫可在无人为交互下自我复制，无需依附应用即可造成破坏。

多数蠕虫设计用于修改内容、删除文件、耗尽系统资源、向计算机注入额外恶意代码。也可窃取数据、安装后门，便于攻击者控制机器及系统设置。

防护：保持操作系统更新，确保使用强安全软件方案。

14. 逻辑炸弹

逻辑炸弹非病毒但像蠕虫和病毒一样本质恶意。是故意插入（隐藏）软件程序的代码片段。满足特定条件时执行。

例如，破解者可在任何浏览器扩展中插入键盘记录器代码。每次访问登录页代码激活，捕获所有击键窃取用户名密码。

逻辑炸弹可插入现有软件或蠕虫、病毒、特洛伊木马等其他恶意软件中。潜伏至触发条件出现，可隐蔽数年。

防护：定期扫描所有文件（含压缩文件），保持杀毒软件更新。

常见问题解答

最早的计算机病毒何时创建？

首个计算机病毒（名为Creeper）由Bob Thomas于1971年在BBN Technologies编写。Creeper是无恶意意图的实验性自我复制程序，仅显示简单信息：“I’m creeper. Catch me if you can!”

谁创建了首个PC病毒？

1986年，Amjad Farooq Alvi和Basit Farooq Alvi编写引导区病毒“Brain”以阻止其软件被未授权复制。“Brain”被视为首个针对IBM PC及兼容机的计算机病毒。

专门针对Microsoft Windows的首个病毒是WinVir，1992年发现。未包含Windows API调用，而是依赖DOS API。

史上代价最高的网络攻击是什么？

迄今最具破坏性的恶意软件是MyDoom。2004年1月首现，成为史上传播最快的邮件蠕虫。它创建网络开口允许攻击者访问受感染机器。

2004年近四分之一邮件被MyDoom感染。估计造成超380亿美元损失。