按感染對象與傳播方式分類，網絡病毒主要劃分為三大家族。理解其技術特徵，有針對性部署防禦策略，事半功倍。

一、網絡型病毒—— 互聯網時代主流威脅

• 感染對象：不限於可執行文件，擴展至腳本、文檔、註冊表、內存、瀏覽器插件、固件等。
• 傳播途徑：郵件附件/鏈接、即時通訊、社交網絡、駭客網站駭客、供應鏈投毒、可移動介質、漏洞利用自動化蠕蟲傳播。
• 攻擊行為：文件加密(勒索)、竊取憑證/隱私/知識產權、下載載荷/後門/挖礦、組建僵尸網絡、破壞系統/數據、橫向移動。
• 隱蔽技術：無文件/內存駐留、進程注入/空洞、反虛擬機/沙箱/調試、加密通訊 (DoH/DoT/QUIC)、域名生成算法 (DGA)、活躍時間窗口。
• 防禦重點：郵件/網關沙箱、NDR/流量行為分析、EDR/XDR 端點行為檢測、應用控制/白名單、最小權限、網絡微隔離、威脅情報融合。

二、引導型病毒—— 經典但未退場

• 感染對象：磁盤主引導記錄 (MBR) / 分區引導扇區 (VBR) / EFI 系統分區 (ESP)。
• 機制：替換/修改引導代碼，早於作業系統內核加載，獲取最高權限（Ring 0/EL3），隱藏自身、攔截中斷/系統調用。
• 危害：系統無法啟動、數據結構破壞、繞過所有用戶態/內核態防護。
• 查殺：殺毒軟件引導區掃描/修復、Windows 恢復環境 (WinRE) 修復 MBR/BCD、專殺工具、低級格式化（數據全失）。現代 UEFI Secure Boot + TPM 可有效阻止未簽名引導代碼執行。
• 代表：Stoned、Michelangelo、CIH (兼感染文件)、Mebroot、Rovnix、Bootkit (TDL4/Alureon)、Petya/NotPetya (加密 MFT/MBR)。

三、文件型病毒—— 傳統寄生模式

• 感染對象：可執行文件（.exe/.com/.scr/.dll/.sys/.ocx/.cpl 等）、腳本文件、文檔宏 (Office/VBA/PDF/JS)。
• 感染方式：
  • 伴隨式：創建同名 .com/.exe 利用 PATHEXT 優先級劫持。
  • 覆寫式：破壞原文件代碼，感染後文件功能失效。
  • 插入式：代碼洞/段間隙/段擴展/入口點修改 (EPO)，原功能保留（如 CIH 利用 PE 節區對齊空隙分 9 段嵌入）。
  • 伴生式/鏈接式：修改導入表/導出表/重定向入口點。
• 特徵：文件體積通常增加（除空洞感染），特徵碼相對固定，傳統特徵掃描有效。
• 防禦：文件完整性監控 (FIM)、應用白名單、數字簽名驗證、沙箱動態分析、編譯器級緩解 (CFG/CET/Shadow Stacks)、供應鏈可信構建。

跨類融合趨勢與統一防禦

現代惡意代碼多為**混合型**：文件型載體落地 → 釋放網絡型蠕蟲模塊 → 植入引導型 Rootkit 持久化。單一分類防禦失效，需構建：

• 全生命周期可見性：資產發現→漏洞管理→配置審計→威脅檢測→響應處置。
• 多層檢測引擎協同：靜態特徵+動態行為+機器學習+威脅情報+沙箱爆破+內存取證。
• 零信任架構：不信任任何隱含信任，持續驗證身份/設備/行為/上下文。

結語

病毒分類是理解威脅本質的認知框架，而非僵化標籤。防禦重心已從「識別已知樣本」轉向「檢測異常行為、阻斷攻擊鏈關鍵環節、縮短生存時間、提高攻擊成本」。