計算機病毒的特征

關于計算機病毒的知識介紹

計算機病毒的知識

計算機病毒(ComputerVirus)是編制者在計算機程序中插?的破壞計算機功能或者數據的代碼，能影響計算機使?，能

?我復制的?組計算機指令或者程序代碼。有盟pe系統官?介紹。

計算機病毒具有傳播性、隱蔽性、感染性、潛伏性、可激發性、表現性或破壞性。計算機病毒的?命周期：開發期→傳

染期→潛伏期→發作期→發現期→消化期→消亡期。

計算機病毒是?個程序，?段可執?碼。就像?物病毒?樣，具有?我繁殖、互相傳染以及激活再?等?物病毒特征。

計算機病毒有獨特的復制能?，它們能夠快速蔓延，?常常難以根除。它們能把??附著在各種類型的?件上，當?件

被復制或從?個?戶傳送到另?個?戶時，它們就隨同?件?起蔓延開來。有盟pe系統官?介紹。

定義

計算機病毒(ComputerVirus)在《中華?民共和國計算機信息系統安全保護條例》中被明確定義，病毒指“編制者在計算

機程序中插?的破壞計算機功能或者破壞數據，影響計算機使?并且能夠?我復制的?組計算機指令或者程序代碼”。

計算機病毒與醫學上的“病毒”不同，計算機病毒不是天然存在的，是?利?計算機軟件和硬件所固有的脆弱性編制的?

組指令集或程序代碼。它能潛伏在計算機的存儲介質(或程序)?，條件滿?時即被激活，通過修改其他程序的?法將?

?的精確拷貝或者可能演化的形式放?其他程序中。從?感染其他程序，對計算機資源進?破壞，所謂的病毒就是?為

造成的，對其他?戶的危害性很?，有盟pe系統官?介紹。

特征

繁殖性

計算機病毒可以像?物病毒?樣進?繁殖，當正常程序運?時，它也進?運???復制，是否具有繁殖、感染的特征是

判斷某段程序為計算機病毒的?要條件。

破壞性

計算機中毒后，可能會導致正常的程序?法運?，把計算機內的?件刪除或受到不同程度的損壞。破壞引導扇區及

BIOS，硬件環境破壞。

傳染性

計算機病毒傳染性是指計算機病毒通過修改別的程序將??的復制品或其變體傳染到其它?毒的對象上，這些對象可以

是?個程序也可以是系統中的某?個部件。

潛伏性

計算機病毒潛伏性是指計算機病毒可以依附于其它媒體寄?的能?，侵?后的病毒潛伏到條件成熟才發作，會使電腦變

慢。

隱蔽性

計算機病毒具有很強的隱蔽性，可以通過病毒軟件檢查出來少數，隱蔽性計算機病毒時隱時現、變化?常，這類病毒處

理起來?常困難。

可觸發性

編制計算機病毒的?，?般都為病毒程序設定了?些觸發條件，例如，系統時鐘的某個時間或?期、系統運?了某些程

序等。?旦條件滿?，計算機病毒就會“發作”，使系統遭到破壞。

序等。?旦條件滿?，計算機病毒就會“發作”，使系統遭到破壞。

原理

病毒依附存儲介質軟盤、硬盤等構成傳染源。病毒傳染的媒介由?作的環境來定。病毒激活是將病毒放在內存，并設

置觸發條件，觸發的條件是多樣化的，可以是時鐘，系統的?期，?戶標識符，也可以是系統?次通信等。條件成熟病

毒就開始?我復制到傳染對象中，進?各種破壞活動等。

病毒的傳染是病毒性能的?個重要標志。在傳染環節中，病毒復制?個??副本到傳染對象中去。

感染策略

為了能夠復制其??，病毒必須能夠運?代碼并能夠對內存運?寫操作。基于這個原因，許多病毒都是將??附著在合

法的可執??件上。如果?戶企圖運?該可執??件，那么病毒就有機會運?。病毒可以根據運?時所表現出來的?為

分成兩類。?常駐型病毒會?即查找其它宿主并伺機加以感染，之后再將控制權交給被感染的應?程序。常駐型病毒被

運?時并不會查找其它宿主。相反的，?個常駐型病毒會將??加載內存并將控制權交給宿主。該病毒于背景中運?并

伺機感染其它?標。有盟pe系統官?介紹。

?常駐型病毒

?常駐型病毒可以被想成具有搜索模塊和復制模塊的程序。搜索模塊負責查找可被感染的?件，?旦搜索到該?件，搜

索模塊就會啟動復制模塊進?感染。有盟pe系統官?介紹。

常駐型病毒

常駐型病毒包含復制模塊，其??類似于?常駐型病毒中的復制模塊。復制模塊在常駐型病毒中不會被搜索模塊調?。

病毒在被運?時會將復制模塊加載內存，并確保當操作系統運?特定動作時，該復制模塊會被調?。例如，復制模塊會

在操作系統運?其它?件時被調?。在這個例?中，所有可以被運?的?件均會被感染。常駐型病毒有時會被區分成快

速感染者和慢速感染者?？焖俑腥菊邥噲D感染盡可能多的?件。例如，?個快速感染者可以感染所有被訪問到的?

件。這會對殺毒軟件造成特別的問題。當運?全系統防護時，殺毒軟件需要掃描所有可能會被感染的?件。如果殺毒軟

件沒有察覺到內存中有快速感染者，快速感染者可以借此搭便車，利?殺毒軟件掃描?件的同時進?感染?？焖俑腥菊?/p>

依賴其快速感染的能?。但這同時會使得快速感染者容易被偵測到，這是因為其?為會使得系統性能降低，進?增加被

殺毒軟件偵測到的風險。相反的，慢速感染者被設計成偶?才對?標進?感染，如此?來就可避免被偵測到的機會。例

如，有些慢速感染者只有在其它?件被拷貝時才會進?感染。但是慢速感染者此種試圖避免被偵測到的作法似乎并不成

功。有盟pe系統官?介紹。

分類

破壞性

良性病毒、惡性病毒、極惡性病毒、災難性病毒。

傳染?式

引導區型病毒主要通過軟盤在操作系統中傳播，感染引導區，蔓延到硬盤，并能感染到硬盤中的"主引導記錄"。

?件型病毒是?件感染者，也稱為“寄?病毒”。它運?在計算機存儲器中，通常感染擴展名為COM、EXE、SYS等類型

的?件。

混合型病毒具有引導區型病毒和?件型病毒兩者的特點。

宏病毒是指?BASIC語?編寫的病毒程序寄存在Office?檔上的宏代碼。宏病毒影響對?檔的各種操作。

連接?式

源碼型病毒攻擊?級語?編寫的源程序，在源程序編譯之前插?其中，并隨源程序?起編譯、連接成可執??件。源碼

型病毒較為少見，亦難以編寫。有盟pe系統官?介紹。

型病毒較為少見，亦難以編寫。有盟pe系統官?介紹。

?侵型病毒可???代替正常程序中的部分模塊或堆棧區。因此這類病毒只攻擊某些特定程序，針對性強。?般情況下

也難以被發現，清除起來也較困難。

操作系統型病毒可?其??部分加?或替代操作系統的部分功能。因其直接感染操作系統，這類病毒的危害性也較?。

外殼型病毒通常將??附在正常程序的開頭或結尾，相當于給正常程序加了個外殼。?部份的?件型病毒都屬于這?

類。有盟pe系統官?介紹。

計算機病毒種類繁多?且復雜，按照不同的?式以及計算機病毒的特點及特性，可以有多種不同的分類?法。同時，根

據不同的分類?法，同?種計算機病毒也可以屬于不同的計算機病毒種類。

按照計算機病毒屬性的?法進?分類，計算機病毒可以根據下?的屬性進?分類。

根據病毒存在的媒體劃分：

?絡病毒——通過計算機?絡傳播感染?絡中的可執??件。

?件病毒——感染計算機中的?件(如：COM，EXE，DOC等)。

引導型病毒——感染啟動扇區(Boot)和硬盤的系統引導扇區(MBR)。

還有這三種情況的混合型，例如：多型病毒(?件和引導型)感染?件和引導扇區兩種?標，這樣的病毒通常都具有復雜

的算法，它們使??常規的辦法侵?系統，同時使?了加密和變形算法。

根據病毒傳染渠道劃分：

駐留型病毒——這種病毒感染計算機后，把??的內存駐留部分放在內存(RAM)中，這?部分程序掛接系統調?并合并

到操作系統中去，它處于激活狀態，?直到關機或重新啟動。有盟pe系統官?介紹。

?駐留型病毒——這種病毒在得到機會激活時并不感染計算機內存，?些病毒在內存中留有?部分，但是并不通過這?

部分進?傳染，這類病毒也被劃分為?駐留型病毒。

根據破壞能?劃分：

?害型——除了傳染時減少磁盤的可?空間外，對系統沒有其它影響。

?危險型——這類病毒僅僅是減少內存、顯?圖像、發出聲?及同類影響。

危險型——這類病毒在計算機系統操作中造成嚴重的錯誤。

?常危險型——這類病毒刪除程序、破壞數據、清除系統內存區和操作系統中重要的信息。

根據算法劃分：

伴隨型病毒——這類病毒并不改變?件本?，它們根據算法產?EXE?件的伴隨體，具有同樣的名字和不同的擴展名

(COM)，例如：的伴隨體是XCOPY-COM。病毒把??寫?COM?件并不改變EXE?件，當DOS加載?

件時，伴隨體優先被執?到，再由伴隨體加載執?原來的EXE?件。

“蠕?”型病毒——通過計算機?絡傳播，不改變?件和資料信息，利??絡從?臺機器的內存傳播到其它機器的內存，

計算機將??的病毒通過?絡發送。有時它們在系統存在，?般除了內存不占?其它資源。有盟pe系統官?介紹。

寄?型病毒——除了伴隨和“蠕?”型，其它病毒均可稱為寄?型病毒，它們依附在系統的引導扇區或?件中，通過系統

的功能進?傳播，按其算法不同還可細分為以下?類。

練習型病毒，病毒??包含錯誤，不能進?很好的傳播，例如?些病毒在調試階段。

詭秘型病毒，它們?般不直接修改DOS中斷和扇區數據，?是通過設備技術和?件緩沖區等對DOS內部進?修改，不

易看到資源，使??較?級的技術。利?DOS空閑的數據區進??作。

變型病毒(?稱幽靈病毒)，這?類病毒使??個復雜的算法，使??每傳播?份都具有不同的內容和長度。它們?般的

作法是?段混有?關指令的解碼算法和被變化過的病毒體組成。

征兆預防

病毒征兆

屏幕上出現不應有的特殊字符或圖像、字符?規則變或脫落、靜?、滾動、雪花、跳動、?球亮點、莫名其妙的信息提

等。

發出尖叫、蜂鳴?或?正常奏樂等。

經常?故死機，隨機地發?重新啟動或?法正常啟動、運?速度明顯下降、內存空間變?、磁盤驅動器以及其他設備?

緣?故地

變成?效設備等現象。

磁盤標號被?動改寫、出現異常?件、出現固定的壞扇區、可?磁盤空間變?、?件?故變?、失蹤或被改亂、可執?

?件(exe)變得?法運?等。

打印異常、打印速度明顯降低、不能打印、不能打印漢字與圖形等或打印時出現亂碼。

收到來歷不明的電?郵件、?動鏈接到陌?的?站、?動發送電?郵件等。

保護預防

程序或數據神秘地消失了，?件名不能辨認等;注意對系統?件、可執??件和數據寫保護;不使?來歷不明的程序或數

據;盡量不?軟盤進?系統引導。

不輕易打開來歷不明的電?郵件;使?新的計算機系統或軟件時，先殺毒后使?;備份系統和參數，建?系統的應急計劃

等。安裝殺毒軟件。分類管理數據。

免殺技術以及新特征

免殺是指：對病毒的處理，使之躲過殺毒軟件查殺的?種技術。通常病毒剛從病毒作者?中傳播出去前，本?就是免殺

的，甚?可以說“病毒?殺毒軟件還新，所以殺毒軟件根本?法識別它是病毒”，但由于傳播后部分?戶中毒向殺毒軟件

公司舉報的原因，就會引起安全公司的注意并將之特征碼收錄到??的病毒庫當中，病毒就會被殺毒軟件所識別。

病毒作者可以通過對病毒進?再次保護如使?匯編加花指令或者給?檔加殼就可以輕易躲過殺毒軟件的病毒特征碼庫?

免于被殺毒軟件查殺。

美國的NortonAntivirus、McAfee、PC-cillin，俄羅斯的KasperskyAnti-Virus，斯洛伐克的NOD32等產品在國際上?碑

較好，但殺毒、查殼能?都有限，?前病毒庫總數量也都僅在數?萬個左右。

?我更新性是近年來病毒的??新特征。病毒可以借助于?絡進?變種更新，得到最新的免殺版本的病毒并繼續在?戶

感染的計算機上運?，?如熊貓燒?病毒的作者就創建了“病毒升級服務器”，在最勤時?天要對病毒升級8次，?有些殺

毒軟件病毒庫的更新速度還快，所以就造成了殺毒軟件?法識別病毒。

除了??免殺?我更新之外，很多病毒還具有了對抗它的“天敵”殺毒軟件和防?墻產品反病毒軟件的全新特征，只要病

毒運?后，病毒會?動破壞中毒者計算機上安裝的殺毒軟件和防?墻產品，如病毒??驅動級Rootkit保護強制檢測并退

毒運?后，病毒會?動破壞中毒者計算機上安裝的殺毒軟件和防?墻產品，如病毒??驅動級Rootkit保護強制檢測并退

出殺毒軟件進程，可以過主流殺毒軟件“主動防御”和穿透軟、硬件還原的機器狗，?動修改系統時間導致?些殺毒軟件

?商的正版認證作廢以致殺毒軟件作廢，從?病毒?存能?更加強?。

免殺技術的泛濫使得同?種原型病毒理論上可以派?出近乎?窮?盡的變種，給依賴于特征碼技術檢測的殺毒軟件帶來

很?困擾。近年來，國際反病毒?業普遍開展了各種前瞻性技術研究，試圖扭轉過分依賴特征碼所產?的不利局?。?

前?較有代表性產品的是基于虛擬機技術的啟發式掃描軟件，代表?商NOD32，，和基于?為分析技術的主動

防御軟件，代表?商中國的微點主動防御軟件等。