计算机病毒.

计算机病毒是一种通过将代码附加到合法可执行文件、文档或引导扇区上来传播的恶意软件。与蠕虫不同,它通常需要用户操作(如打开文档、运行程序或从感染介质启动)才能进一步扩散。激活后,病毒可能破坏数据、释放其他载荷、外泄信息或耗尽系统资源。

感染原理

文件型病毒会修改宿主程序,使执行流在到达原始入口点之前先经过病毒代码。常见手法包括:将载荷追加到可执行文件末尾并改写入口点、前置到文件开头,以及将代码藏入文件未使用空隙的空腔感染。驻留型病毒常驻内存,在文件被打开时进行感染;而多态与变形引擎会在每一代变异或重新加密载荷,使静态特征码失效,迫使反病毒厂商转向启发式与行为检测。

真实事件

Brain 病毒(1986 年 1 月)由巴基斯坦兄弟俩编写,被视为首个 PC 病毒,会覆写 IBM 兼容机上的软盘引导扇区。Melissa(1999 年)是首个大规模传播的 Word 宏病毒,会自动发送给 Outlook 通讯录中的前 50 个联系人,造成约 8000 万美元损失。随后出现了 ILOVEYOU(2000 年)和 CIH/切尔诺贝利,后者甚至能覆写 BIOS 闪存。

防御措施

现代防护包括:保持带行为分析的反恶意软件更新、默认禁用未签名的 Office 宏(微软现已阻止带有 Mark-of-the-Web 标记文件中的宏)、应用程序白名单、最小权限账户以及及时打补丁。

flowchart TD
  A[用户打开受感染文件<br/>或运行程序] --> B[病毒代码在宿主<br/>入口点之前执行]
  B --> C{扫描未感染的宿主}
  C -->|找到宿主| D[附加/注入副本<br/>追加、前置、空腔]
  D --> E[变异载荷<br/>多态引擎]
  E --> C
  C -->|满足触发条件| F[投放载荷<br/>破坏数据/植入恶意软件]
  B --> G[将控制权交回宿主<br/>程序正常运行]