病毒本質是人為編寫的惡性程序。雖數量龐大、形態各異，但可按感染對象與技術特徵分為七大類，掌握分類有助於針對性防禦。

1. 文件型病毒

寄生於可執行文件（.COM、.EXE等）。執行宿主程序時病毒代碼同步運行。按駐留特性分：

• 非駐留型：僅在宿主運行時活躍，不常駐內存；
• 駐留型：掛鉤中斷/系統調用，常駐內存攔截文件操作，感染更多文件。

2. 變型病毒

採用複雜加密/多態引擎，每次傳播代碼特徵與長度均改變。結構：解密器（混淆指令）+ 加密病毒體。對抗特徵碼掃描，需模擬執行/行為分析查殺。

3. 引導型病毒

隱匿於磁盤/硬盤第0扇區（MBR/DBR）。DOS架構使其在OS加載前先獲控制權，劫持中斷向量，擁有最高權限感染/破壞。現代UEFI Secure Boot可有效阻斷。

4. 混合型病毒

同時具備文件型與引導型特性：感染.COM/.EXE文件，亦感染引導扇區。傳播鏈路雙通道，爆發破壞力極強（如One_Half、Tequila）。

5. 隱蔽型病毒

掛鉤DOS中斷向量（INT 13h/21h），攔截文件讀取請求，返回「假還原」的原始內容欺騙用戶/殺毒軟件，實際磁盤已被感染。需純DOS環境下啟動清除。

6. 多態/復制型病毒

每次復制生成完全不同的病毒特徵碼（加密鑰匙/解密器變異）。感染文件間無相同特徵碼，傳統特徵庫幾乎失效，需啟發式/行為/模擬執行技術對抗。

7. 宏病毒

利用辦公軟件宏腳本能力（VBA/WordBasic）編寫。凡支持宏的應用（Word/Excel/Access/AmiPro等）均可能中招。跨平台傳播（文檔即載體），90年代末曾大流行，現Office默認禁用宏/簽名驗證大幅降低風險。

防禦啟示

• 分類認知幫助選型：引導區保護防引導型、行為監控防多態/隱蔽型、宏安全策略防宏病毒；
• 現代端點防護（EDR/XDR）已超越特徵碼，基於MITRE ATT&CK技術矩陣檢測攻擊戰術技術（TTPs），覆蓋上述所有家族變種；
• 用戶層面：不執行不明來源程序、Office禁用宏/僅信任簽名宏、系統/軟件及時更新、定期離線備份。