從 1986 年「腦炎」病毒到 2024 年 AI 生成多態變種，計算機病毒經歷了破壞炫技 → 竊取牟利 → 定向 APT 攻擊 → 供應鏈投毒 → AI 自進化五代演進。本文依據《計算機信息系統安全保護條例》法律定義，系統構建病毒知識體系，覆蓋技術原理、分類學、檢測對抗、應急響應，為安全從業者與普通用戶提供權威參考。

一、法律定義與核心特徵

《條例》第六條：計算機病毒是指「編制者在計算機程序中插入的破壞計算機功能或者破壞數據，影響計算機使用並且能夠自我復制的一組計算機指令或者程序代碼」。

二、生命週期模型 (7 階段)

1. 開發期： 編寫、測試、加殼、免殺處理。
2. 傳染期： 釣魚郵件、駭站下載、供應鏈投毒、可移動介質、漏洞利用套件投遞。
3. 潛伏期： 駐留內存/磁碟，建立持久化 (Run 鍵、服務、計劃任務、WMI 訂閱、COM 劫持)。
4. 發作期： 觸發條件滿足，釋放載荷 (勒索加密、數據外泄、破壞 MBR/BIOS)。
5. 發現期： 用戶/殺毒/EDR/SIEM 偵測到異常行為或特徵碼匹配。
6. 消化期： 提取樣本、逆向分析、生成特徵碼/IOC、推送更新、清理受害主機。
7. 消亡期： 病毒失去傳播環境、C2 伺服器下線、修補漏洞、免疫覆蓋率達群體免疫閾值。

三、分類學體系 (多維交叉)

四、感染策略與技術細節

非常駐型 (Non-resident)

• 搜尋模塊 (尋找 *.exe/*.scr/*.dll) + 復制模塊 (寫入入口點/EOF/段間隙)。
• 感染後將控制權還給宿主 (JMP OEP)。

常駐型 (Resident)

• 安裝中斷向量/系統服務/過濾驅動/微濾波器 → 攔截文件操作 (IRP_MJ_CREATE/IRP_MJ_WRITE) 實時感染。
• 快速感染者： 掃描所有可存取文件 (掃毒時順便感染) → 易被行為檢測發現。
• 慢速感染者： 僅感染新建/複製/寫入文件 → 隱蔽性強、傳播慢。

五、病毒徵兆識別清單 (用戶自檢)

• 🖥️ 系統：頻繁藍屏/死機/重啟、啟動緩慢、CPU/記憶體/磁碟不明佔用高。
• 💾 存儲：可用空間暴跌、文件擴展名被修改 (.exe→.scr)、文件圖標變白/異常、隱藏屬性批量修改。
• 🌐 網絡：不明外連 (netstat -ano 見陌生 IP)、流量激增、DNS 被劫持、瀏覽器首頁/搜尋引擎被鎖定。
• 🔐 安全：殺毒軟體/防火牆/任務管理器/註冊表編輯器無法打開/被關閉、安全中心服務停止。
• 📧 郵件/社交：自動發送帶毒附件/鏈接、好友收到冒充郵件。
• 🖨️ 外設：印表機異常打印亂碼、光碟機彈出、攝像頭燈亮。

六、防護體系：纵深防御

七、免殺對抗前沿：特徵碼失效後的攻防戰

攻擊端免殺技術演進

1. 靜態免殺： 加殼 (VMProtect/Themida/Enigma)、花指令插入、控制流扁平化、字符串加密、重編譯 (Go/Rust/Nim 交叉編譯)、異構載荷 (Shellcode/Donut/.NET Assembly)。
2. 動態免殺： 進程注入 (Early Bird/Atom Bombing/Thread Execution Hijacking)、模塊踩踏、間接系統調用 (SysWhispers/HellsGate)、用戶模式鉤子繞過 (Unhooking)、PPL 繞過。
3. C2 隱蔽通道： DNS 隧道、HTTPS/DoH、Cloudflare Workers、GitHub/Gist/Telegram/Discord API、圖片隱寫術、區塊鏈交易數據。
4. AI 增強： LLM 生成多態變種、自動化漏洞利用鏈構建、對抗樣本生成繞過 ML 引擎。

防禦端突圍技術

• 啟發式/行為引擎： 監控 API 調用序列 (NtCreateFile → NtWriteFile → NtCreateThreadEx)、MITRE ATT&CK 技術標籤匹配。
• 虛擬化/沙箱動態分析： 全系統模擬 (Cuckoo/FireEye/Joe Sandbox)、硬體虛擬化透視 (Intel PT/AMD-Vi)、時間旅行調試 (TTD)。
• 雲端大腦/威脅情報圖譜： 每秒百萬級樣本關聯分析、家族分型、C2 基礎設施追蹤、攻擊者畫像。
• 微點/火絡/360 核心晶/深信服 EDR： 國產主動防御代表，內核回調/ETW/內存掃描/行為基線。

八、新興威脅趨勢 (2023-2024)

1. 供應鏈投毒常態化： 依賴庫投毒 (event-stream、ua-parser-js、PyPI/npm 惡意包)、CI/CD 管線注入 (SolarWinds、Codecov)、固件/硬體植入。
2. 勒索即服務 (RaaS) 產業化： LockBit/BlackCat/Cl0p 聯盟招募分發者、雙重/三重勒索 (加密+洩露+DDoS)、針對 ESXi/NAS/備份存儲。
3. 文件無惡意軟體攻擊 : 利用系統內建工具 生活在陸地上 - PowerShell/WMI/WSMAN/MSI/Regsvr32/Rundll32/Certutil/MSBuild 繞過應用白名單。
4. AI 生成惡意代碼： WormGPT/FraudGPT 降低攻擊門檻、自動化釣魚郵件生成、多語言社工腳本。
5. 移動/物聯網/OT 病毒： Android 掛載/無障礙服務濫用、IoT 僵屍網 (Mirai 變體)、ICS 專用惡意軟體 (Triton/Industroyer/PIPEDREAM)。

九、應急響應 SOP (發現中毒立即執行)

1. 斷網隔離： 拔網線/關 Wi-Fi/關閉交換機埠，防止橫向移動與數據外泄。
2. 保存現場： 記憶體鏡像 (WinPMEM/FTK Imager)、磁碟鏡像 (dd/Guymager)、關鍵日誌 (EVTX/Sysmon/EDR 日誌) 導出。
3. 查殺清理： 獨立啟動介質 (WinPE/Linux Live USB) 掃描、EDR 遠程隔離+修復、手動清理持久化項 (Autoruns/Scheduled Tasks/Services/Run Keys)。
4. 換憑證： 修改所有可能洩露帳密、吊鑰憑證/Token、輪換 SSH Key/API Key。
5. 恢復驗證： 從離線不可變備份恢復 → 完整性校驗 → 業務驗證 → 解除隔離。
6. 復盤報告： 攻擊鏈復原 (ATT&CK 映射)、根因分析、改進措施追蹤落實。

病毒對抗永無止境，「假設已失陷」 才是現代安全架構的起點。構建可見性、可控性、可恢復性三位一體的韌性體系，比單純追趕特徵碼更具戰略價值。