前言

病毒依記憶體駐留行為可分為「非駐留型」與「駐留型」，兩者在感染時機、系統交互方式上有本質差異。本文詳細對比兩者特徵，並介紹新一代病毒的演進趨勢。

非駐留型病毒

• 感染時機： 每次執行帶毒宿主程式時，立即在當前路徑主動搜尋符合條件的可執行檔進行感染。
• 系統互動： 不修改中斷向量，不改變任何系統狀態。
• 偵測難度： 極難區分當前運行的是病毒還是正常程式。
• 典型代表： Vienna/648。

駐留型病毒

• 感染時機： 帶毒宿主程式駐留記憶體期間，通常不立即感染；而是透過攔截系統中斷（如 INT 21H 的 EXEC (4BH) 或尋找檔案功能 11H,12H,4EH,4FH）監控待感染程式，在特定時機感染。
• 系統互動： 必須修改中斷向量、掛鉤系統服務以達成駐留監控。

核心差異比較表

特徵	非駐留型	駐留型
感染觸發	宿主程式每次執行即感染	駐留期間透過中斷攔截感染
中斷向量修改	否	是（傳統掛鉤 INT 21H）
系統狀態改變	無	有
偵測難易度	高（行為接近正常程式）	中（可掃描中斷向量異常）

新一代病毒演進趨勢

新型病毒不再仰賴控制 INT 21H，改用 INT 24H 等其他中斷向量進行監控與感染，進一步繞過傳統反病毒的中斷監控機制。

結語

理解兩類病毒的運作機制差異，有助於反病毒引擎設計更精準的掃描策略：非駐留型側重掃描檔案異常修改；駐留型側重監控記憶體中斷向量與系統服務異常。