非常駐型ウイルス

非常駐型ウイルスは古典的なファイル感染型で、同期的かつ短時間で動作します。ホストプログラムが実行されると、ターゲット(多くはカレントディレクトリや PATH 内の実行ファイル)を探し、自身のコードを追記または前置し、ホストに制御を戻して終了します。常駐しないためシステムコールへのフックやリアルタイム監視はできませんが、実装が単純で、稼働中のプロセスのみを見るツールには検知されにくい場合があります。対策としては、新規ファイル変更とプロセス生成を監視する振る舞い検知型アンチマルウェア、実行ファイルへのコード署名と整合性検証、最小権限実行などがあります。