1. 隱蔽性

• 體積小 (KB 級)，傳播快、難發現。
• 「無進程」技術 / 注入關鍵系統進程 (如 svchost.exe、explorer.exe) 規避工作管理員檢視。
• 運行後自改檔名、躲藏於深層系統目錄 (如 C:\Windows\WinSxS、C:\ProgramData)。
• 捆綁正常文檔 (圖片、PDF、Office) 利用漏洞 (CVE-2017-11882 等) 無感載入。

2. 感染性

• 感染可執行檔 (.exe、.scr、.com、.bat、.dll)，植入殼代碼實現自我複製。
• 利用網路共享漏洞 (MS17-010/EternalBlue、SMB 空連接) 横向移動感染區域網主機。
• 感染啟動項 (註冊表 Run、啟動資料夾、服務、計劃任務、WMI 事件訂閱) 實現持久化。

3. 傳播性

• 郵件蠕蟲：盜用 Outlook/通訊錄群發帶毒附件/連結，社工標題 (「發票」、「會議通知」、「我愛你」)。
• 即時通訊/社群傳播：冒充好友發送惡意連結/檔案 (QQ、微信、Telegram、Discord)。
• 可移動媒體：autorun.inf + 執行檔，利用 AutoRun/AutoPlay 自動執行 (現代 Windows 預設關閉 AutoRun)。
• 駭客工具/破解軟體/鍵值生成器捆綁下載站傳播。

4. 潛伏性 (邏輯炸彈)

• 時間觸發：特定日期 (CIH 4/26)、星期幾、系統運行時長。
• 事件觸發：特定程式啟動、檔案存取、網路連線、使用者登入。
• 條件觸發：偵測虛擬機/沙箱/分析工具則不發作 (反分析)。

5. 破壞性

• 資料破壞：加密勒索 (Ransomware)、刪除/覆寫檔案、格式化分區、破壞 MBR/GPT、損壞 BIOS/UEFI 固件 (CIH、Petya/NotPetya)。
• 系統破壞：修改關鍵註冊表、替換系統檔、關閉安全服務、植入 Rootkit/Bootkit。
• 硬體損壞：超頻燒毀 CPU/GPU (Stuxnet 風格)、反覆閃寫 BIOS 磨損 SPI 閃存。

6. 表現性 (可觀測徵兆)

• CPU/GPU/磁碟/網路佔用異常飆升 (挖礦、DDoS 僵屍網路)。
• 滑鼠右鍵失效、工作管理器/登錄表/資料夾選項被禁用 (策略劫持)。
• 藍屏 (BSOD)、隨機重開機、無法開機 (MBR 損壞)。
• 瀏覽器首頁/搜尋引擎被劫持、彈窗廣告狂轟濫炸。

7. 可激發性 (標靶化攻擊)

• 語言/地區檢測：僅攻擊簡中/繁中/特定語系系統 (如 CIH 作者針對簡中)。
• 硬體指紋鎖定：僅感染特定 MAC/主機板序號/硬碟序號的機器 (APT 武器化特徵)。
• C2 指令下發：遠端控制端發送模組啟動指令，實現「按需攻擊」。

防禦核心策略

1. 系統/軟體及時修補 (自動更新)。
2. 最小權限原則 (標準用戶日常、UAC 最高)。
3. 多層防護：EDR + 網路流量分析 (NDR) + 郵件/網關沙箱。
4. 離線備份 (3-2-1 原則) + 定期演練還原。
5. 安全意識培訓：識別社工郵件、不執行不明程式、不輸入認證於非官方頁面。