常见网络威胁：病毒、木马、蠕虫、勒索软件、间谍软件等恶意软件的特征与危害
在数字化生存成为常态的今天，恶意软件（Malware）是网络安全领域最普遍、最直接的威胁形态。无论是个人电脑、智能手机还是企业服务器，都时刻暴露在各类恶意程序的攻击之下。对于计算机一级考生而言，理解这些威胁的本质特征、传播机制与危害后果，是建立主动防御意识的第一步。本章将系统拆解五类最常见的恶意软件——病毒、木马、蠕虫、勒索软件与间谍软件，从技术原理到实战场景，帮助学习者构建清晰的威胁认知图谱。
3.1 病毒（Virus）：寄生与破坏的经典威胁
3.1.1 核心原理
计算机病毒是一段能够自我复制、并寄生在其他可执行文件或文档中的恶意代码。其本质特征是“寄生性”与“触发条件”。病毒无法独立运行，必须附着在宿主程序（如 .exe 文件、Office 宏、脚本文件）上，当用户运行被感染的程序时，病毒代码才会被激活。激活后，病毒会执行预设的恶意操作，并尝试感染其他文件，形成循环扩散。
3.1.2 判断方法与典型特征
- 文件体积异常增大：宿主文件被附加病毒代码后，体积会明显膨胀。
- 系统运行迟缓：病毒在后台不断复制自身，消耗 CPU 与内存资源。
- 文件扩展名被篡改：部分病毒会将 .txt 改为 .exe 或 .vbs 等可执行格式。
- 杀毒软件频繁告警：实时监控发现可疑代码注入行为。
3.1.3 实战场景：宏病毒攻击文档
某公司财务人员收到一封标题为“2024年度奖金明细.xls”的邮件附件。打开文件后，Excel 提示“启用宏”，财务人员未加思索点击了启用。实际上，该宏包含一段 VBA 脚本，执行后自动遍历本地磁盘中的 .xls 和 .doc 文件，将病毒代码写入这些文件的宏模块中。次日，公司多台电脑出现文件打不开、系统卡顿的现象。
3.1.4 常见误区与总结
3.2 木马（Trojan）：披着羊皮的远程控制工具
3.2.1 核心原理
特洛伊木马（Trojan Horse）得名于古希腊传说，其特点是“伪装性”与“非自复制性”。木马通常伪装成正常软件（如游戏外挂、破解工具、免费电影播放器），诱导用户主动安装。安装后，木马会在后台打开一个隐蔽的通信端口，与攻击者的命令控制服务器（C2）建立连接，使攻击者获得远程控制权限。
3.2.2 木马的危害层级
| 危害层级 | 具体表现 | 典型后果 |
|---|---|---|
| 基础层 | 键盘记录、屏幕截图 | 账号密码被窃取 |
| 进阶层 | 文件上传/下载、注册表篡改 | 敏感数据泄露、系统配置被破坏 |
| 高级层 | 摄像头/麦克风控制、DDoS 攻击跳板 | 隐私侵犯、成为攻击同谋 |
3.2.3 案例拆解：远程访问木马（RAT）
某游戏玩家在第三方论坛下载了一款“游戏加速器”，安装后软件界面正常，但后台进程“svchost.exe”异常连接至境外 IP。攻击者通过该木马获取了玩家的 Steam 账号，并利用其社交关系链发送钓鱼链接。进一步分析发现，该木马还具备“自毁”功能——当检测到杀毒软件扫描时，会主动删除自身痕迹。
3.2.4 常见误区
3.3 蠕虫（Worm）：无需宿主的网络自传播者
3.3.1 核心原理
蠕虫与病毒最大的区别在于“独立性”。蠕虫不需要寄生在宿主文件中，它自身就是一个完整的可运行程序。蠕虫利用操作系统漏洞、弱口令或网络服务缺陷，通过互联网自动扫描并感染其他计算机。其传播速度呈“指数级”增长，可在数小时内感染全球数百万台设备。
3.3.2 传播机制与判断方法
- 漏洞扫描：蠕虫随机或按 IP 段扫描开放特定端口（如 445、3389）的主机。
- 漏洞利用：利用 EternalBlue（永恒之蓝）等已知漏洞注入恶意载荷。
- 自我复制：在新主机上释放副本，并继续扫描下一批目标。
- 负载执行：安装后门、下载其他恶意程序或发起 DDoS 攻击。
判断特征：网络带宽异常占用、CPU 持续 100% 占用、系统出现大量陌生进程、防火墙日志显示大量外联尝试。
3.3.3 经典案例：WannaCry 勒索蠕虫（2017）
WannaCry 是蠕虫与勒索软件结合的典型代表。它利用 MS17-010 漏洞（永恒之蓝）在局域网内自动传播，无需用户任何操作即可感染。全球 150 多个国家的 30 多万台电脑中招，包括英国 NHS 医疗系统、中国多所高校。被感染电脑的所有文件被加密，弹出勒索界面要求支付 300 美元比特币。
3.3.4 常见误区
3.4 勒索软件（Ransomware）：数据绑架与金钱勒索
3.4.1 核心原理
勒索软件通过加密用户文件或锁定系统屏幕，迫使受害者支付赎金以恢复数据。其攻击链通常为：投递 → 执行 → 提权 → 加密 → 勒索。现代勒索软件多采用 RSA + AES 混合加密算法，几乎无法通过暴力破解恢复数据。
3.4.2 勒索软件的类型对比
| 类型 | 加密方式 | 典型代表 | 恢复难度 |
|---|---|---|---|
| 加密型 | 文件内容加密（AES/RSA） | CryptoLocker, Locky | 极高（无密钥不可恢复） |
| 锁屏型 | 锁定系统桌面 | WinLocker, Reveton | 中等（可进入安全模式清除） |
| 恐吓型 | 伪造执法机构警告 | FBI Virus, Police Trojan | 低（仅心理恐吓） |
3.4.3 实战场景：中小企业遭遇勒索攻击
某设计公司的一台文件服务器被植入勒索软件，所有 CAD 图纸和项目文档被加密为 .locked 后缀。攻击者留下 TXT 文件，要求 48 小时内支付 2 个比特币（约 15 万元人民币），否则销毁解密密钥。公司尝试使用数据恢复软件，但仅能恢复少量未加密的临时文件。
3.4.4 常见误区
3.5 间谍软件（Spyware）：无声无息的隐私窃贼
3.5.1 核心原理
间谍软件在用户不知情或未明确同意的情况下，秘密收集个人信息并发送给第三方。其核心特征是“隐蔽性”与“持续性”。间谍软件常与免费软件捆绑安装，或通过浏览器漏洞注入。它不破坏系统，但持续监控用户行为，包括浏览记录、按键输入、屏幕内容、麦克风录音等。
3.5.2 间谍软件的分类与危害
- 键盘记录器（Keylogger）：记录所有按键，窃取账号密码、信用卡信息。
- 浏览器劫持者（Browser Hijacker）：篡改主页、强制跳转广告页面。
- 广告软件（Adware）：弹出大量广告，收集用户偏好用于精准营销。
- 系统监控软件（System Monitor）：截屏、记录聊天记录、追踪 GPS 位置。
3.5.3 判断方法与排查流程
- 观察网络流量：使用任务管理器或资源监视器，查看是否有进程持续上传数据。
- 检查浏览器设置：主页是否被篡改？是否安装了未知插件或扩展？
- 审查启动项：运行
msconfig或任务管理器“启动”标签，禁用可疑项目。 - 使用专业工具：运行 Malwarebytes、AdwCleaner 等反间谍软件扫描。
3.5.4 案例：免费 Wi-Fi 背后的间谍陷阱
某用户在商场连接了一个无密码 Wi-Fi，随后手机频繁弹出广告，且电池耗电加快。经检测，手机被植入了广告间谍软件。该 Wi-Fi 由攻击者搭建，利用 DNS 劫持将用户重定向至恶意下载页面，诱导安装“加速器”App，实际捆绑了间谍软件。
3.5.5 常见误区
3.6 恶意软件防御综合策略
3.6.1 分层防御体系
| 防御层 | 关键措施 | 对应威胁 |
|---|---|---|
| 边界层 | 防火墙、入侵检测系统（IDS） | 蠕虫、木马外联 |
| 终端层 | 杀毒软件、EDR（端点检测响应） | 病毒、勒索软件、间谍软件 |
| 应用层 | 软件白名单、宏禁用、补丁管理 | 宏病毒、漏洞利用型蠕虫 |
| 数据层 | 3-2-1 备份、加密存储 | 勒索软件 |
| 人员层 | 安全意识培训、钓鱼演练 | 木马、间谍软件投递 |
3.6.2 应急响应流程
- 隔离：立即断开网络连接，拔掉网线或关闭 Wi-Fi，防止横向移动。
- 取证：保留内存镜像、日志文件、可疑样本，不要急于重装系统。
- 清除：使用杀毒软件全盘扫描，或进入安全模式手动删除恶意文件。
- 恢复：从干净的备份中恢复数据，确认系统无残留后再联网。
- 复盘：分析感染途径，修补漏洞，更新安全策略。