核心定義：三大惡意代碼家族
- 特洛伊木馬：偽裝成有用程序，實則藏有破壞性代碼。不具備自我傳播能力，常通過郵件誘騙用戶執行。核心特徵是「欺騙」與「後門」，如遠程訪問特洛伊（RAT）可讓駭客完全控制主機，Rootkit則深度隱藏蹤跡並竊取權限。
- 蠕蟲：擁有自我傳播能力，利用網絡漏洞或社交工程自動在主機間複製。不需感染宿主文件，直接消耗帶寬、發動DoS攻擊，如Sasser蠕蟲利用LSAS漏洞爆發。
- 病毒：核心意圖是自我複製，將代碼注入可執行文件、文檔宏、啟動扇區等「攜帶者」。宿主運行時病毒代碼隨之執行，感染新宿主，可能攜帶破壞性負載（刪除數據、竊取信息）。
決策樹：如何快速分類？
1. 代碼是否自我傳播？否 → 特洛伊木馬。
2. 是否需感染宿主文件才能複製？否 → 蠕蟲；是 → 病毒。
混合威脅：現代攻擊常結合多種類型（如蠕蟲傳播木馬），傳播極快、極難防禦。
惡意軟件的「畫像」：目標與傳輸
目標環境
針對特定設備（PC、Mac、PDA）、操作系統（如CIH病毒專攻Win9x）、應用程序（如LFM.926針對Flash漏洞）。
攜帶者對象（病毒專屬）
- 可執行文件：.exe, .com, .dll, .sys...
- 腳本文件：.vbs, .js, .wsh...
- 宏文件：Word/Excel宏腳本
- 啟動扇區：MBR、DOS啟動記錄（多部位病毒同時感染文件與扇區）
傳輸機制演進
- 可移動媒體：軟盤→USB/火線，速度慢但難根治。
- 網絡共享：利用弱權限共享大規模擴散。
- 網絡掃描：自動掃描開放端口/漏洞（如掃描445端口）。
- P2P網絡：偽裝成熱門文件誘導下載。
- 郵件/即時通訊：社交工程誘導點擊附件/鏈接。
- Web駭客：駭入網站植入惡意腳本（Drive-by Download）。
防禦建議
部署多層防護：網關防病毒/IDS、終端EDR、應用白名單、及時修補漏洞、最小權限原則、禁用不必要服務、安全意識培訓。理解惡意代碼本質，才能精準防禦。