7.6 恶意代码
本篇定位：恶意代码是信息安全概念辨析区——9 年直接命中 8 题（2018 单68、2019 单58、2022 单71/72、2024 单74、2025 单65、2026 单49），2027 预测继续点名（病毒/蠕虫/木马/勒索/后门）。考点：文件型病毒 vs 宏病毒、蠕虫自传播、木马窃取、勒索加密、后门秘密入口、防病毒局限。核心能力：恶意代码五兄弟"一句话特征"——文件型感染可执行文件、宏病毒感染 Office、蠕虫自传播、木马要诱骗、勒索要赎金。 数据依据：
01-真题/真题文本/+01-真题/考点汇总/+05-笔记/信息安全-高频考点清单.md；答案以专业判断为准。 阅读提示：恶意代码与 7.4 攻击（木马反向连接）衔接；WannaCry（蠕虫）与 6.9 补丁管理衔接；防病毒局限与 7.5 防御衔接。
一、考点定位（本章真题统计）
| 考点 | 真题锚点 | 频次 | 考法 |
|---|---|---|---|
| 病毒分类 | 2018 单68、2022 单71/72、2024 单74、2025 单65 | 5 年 5 题 | 文件型不感染 HTML；宏病毒感染 Office |
| 蠕虫 | 2024 单74、2019 单58 相关 | 2 年 | WannaCry 自传播 |
| 木马 | 2022 单72、2023 单67（反向连接） | 2 年 | 诱骗安装、窃取信息 |
| 防病毒局限 | 2019 单58 | 1 年 | 防不了 DDoS |
| 后门 | 2025 单65 | 1 年 | 秘密入口 |
| 分发攻击 | 2026 单49 | 1 年 | 恶意修改配置、设置隐藏攻击途径 |
命题规律：恶意代码考"类型识别（特征→病毒/蠕虫/木马/勒索/后门）"。2027 预测 1–2 题：病毒分类、防病毒局限。核心能力：五兄弟特征表一张背熟。
二、知识框架（先搭骨架）
恶意代码五兄弟
├── 病毒（Virus）
│ ├── 需要宿主程序、自我复制、感染其他文件
│ ├── 文件型病毒：感染 COM/EXE/SYS 等【可执行文件】（不感染 HTML！2018 单68）
│ ├── 宏病毒：感染 Word/Excel 文档（Macro.Melissa 宏病毒）
│ └── 引导区病毒：感染磁盘引导区
├── 蠕虫（Worm）
│ ├── 【无需宿主】独立运行、自我复制
│ ├── 通过网络【自动传播】——WannaCry（2024 单74）
│ └── 与病毒区别：蠕虫不感染文件、自己传播
├── 木马（Trojan）
│ ├── 【伪装成正常软件】诱骗用户安装（2022 单72）
│ ├── 窃取信息/远程控制（不自我复制）
│ └── 反向连接绕过防火墙（2023 单67，7.4 已详）
├── 勒索软件（Ransomware）
│ ├── 【加密用户文件】→ 勒索赎金
│ └── WannaCry 也是勒索（蠕虫+勒索）
├── 后门（Backdoor）
│ ├── 【秘密入口】绕过正常认证进入系统（2018 单68）
│ └── 常由开发者预留或攻击者植入
└── 防病毒软件局限（2019 单58）
├── 能防/查恶意代码（病毒/木马/蠕虫）
└── 【防不了 DDoS 等流量型攻击】（2019 单58）
一句话记忆：病毒要宿主感染文件、蠕虫无宿主自动传、木马伪装骗安装、勒索加密要赎金、后门秘密入口；杀毒软件管恶意代码、不管流量海啸。
三、考点详解
3.1 病毒分类（2022 单71）
精确定义：病毒 = 需要宿主程序、能自我复制并感染其他文件的恶意代码。
三类病毒（必背）：
| 类型 | 感染对象 | 特征 |
|---|---|---|
| 文件型病毒 | COM/EXE/SYS 等可执行文件 | 附着在程序上，运行即激活 |
| 宏病毒 | Word/Excel 等文档（宏） | 藏在文档宏里，打开文档即感染 |
| 引导区病毒 | 磁盘引导区 | 开机即加载 |
2022 单71（选"不能感染"）：文件型病毒不感染 HTML 文件——HTML 是文本/网页文件，不是可执行程序（文件型病毒感染可执行文件）。
口诀：文件型感染 EXE、宏病毒感染文档。
3.2 蠕虫（2024 单74）
精确定义：蠕虫 = 无需宿主、独立运行、通过网络自动传播的恶意代码——与病毒的本质区别：不需要宿主程序、不用感染文件。
2024 单74（WannaCry）：WannaCry 是蠕虫（自我复制、网络自动传播）——同时具备勒索功能。
口诀：蠕虫自己跑、自己传（不靠宿主不靠文件）。
3.3 木马（2022 单72、2025 单65）
精确定义：木马 = 伪装成正常软件（游戏/09-工具/邮件附件）诱骗用户安装，安装后窃取信息/远程控制——不自我复制、不感染文件。
- 2022 单72（选木马）：伪装成合法软件诱骗安装、窃取信息 → 木马。
- 2025 单65（选木马）：利用社会工程诱骗用户安装 → 木马（不是病毒、不是蠕虫、不是后门）。
- 与"网络钓鱼"的分界：钓鱼是骗取凭证/信息（假网站、假邮件），木马是植入程序（诱骗安装）；两者常组合使用（钓鱼投递木马）。
3.4 勒索软件（2024 单74 相关）
精确定义：勒索软件 = 加密用户的文件/系统，要求支付赎金才解锁。
防：定期备份（重要！）、及时补丁、不点不明链接（衔接 4.6 备份、6.9 补丁）。
3.5 后门（2018 单68）
精确定义：后门 = 秘密入口——绕过正常身份认证直接进入系统的通道（开发者预留或攻击者植入）。
2018 单68（选后门）：为绕过后台认证、实现隐蔽访问而设置的秘密入口 → 后门。
口诀：后门=不请自来的秘密通道。
3.6 防病毒软件局限（2019 单58）
2019 单58（选防不了 DDoS）：个人防病毒软件无法防御 DDoS 攻击——防病毒管恶意代码（病毒/木马/蠕虫），不管流量型攻击（DDoS 是洪水，不是恶意代码）。
口诀：杀毒管"毒"、不管"洪水"（DDoS）。
3.7 分发攻击（2026 单49）
2026 单49（选分发攻击）：运维人员在升级过程中恶意修改软硬件配置、设置隐藏攻击途径 → 分发攻击（在分发/升级环节植入恶意）。
辨析：物理破坏（砸设备）、DoS（流量）、被动攻击（窃听）都不是"升级时植入后门"。
3.8 检测方法与伪装技术（补强；2026 单41 同族）
五种检测方法（各有边界）：
| 方法 | 原理 | 优点 | 缺点 |
|---|---|---|---|
| 特征码 | 匹配已知样本的特征串 | 准、快 | 只查已知，加壳/变形即失效 |
| 校验和 | 比对文件哈希 | 简单 | 改一个字节就变 |
| 行为监测 | 监控异常动作（改注册表/自启动/加密文件） | 可查未知 | 误报多、耗资源 |
| 软件模拟（沙箱） | 在虚拟环境里运行观察 | 安全、可查未知 | 慢，可被"反沙箱"识别 |
| 启发式 | 按规则/统计猜测 | 能查变种 | 误报 |
- 云查杀：本地轻量特征＋云端大库比对（需联网）；主动防御：不靠特征、靠行为拦截。
- 病毒伪装六类：加密、多态（每感染一次变换形态）、变形（重写自身代码）、隐形（隐藏自身/劫持中断）、反跟踪反调试、加壳。
- 坑：加壳本身不等于恶意（正常软件也加壳防逆向）；2026 单41：App 插入无关代码＝防反编译（代码混淆/加固），目的不是破坏而是保护。
- 处置六步：隔离（断网）→ 取证（内存/日志，先易失后非易失）→ 清除（杀毒/重装）→ 修复（补丁/改口令）→ 恢复（用干净备份）→ 复盘改进。
补充题（来源：外部练习册（2025）第 5 章章末训练·模拟题，已核答案正确）：
- "（口径已核）不是蠕虫病毒"⇒ 冰河（冰河＝木马；熊猫烧香、红色代码、爱虫均属蠕虫类）——考"蠕虫 vs 木马"的边界。
- "感染过病毒的计算机对该病毒有免疫力"⇒ 错误——感染不产生免疫，同一病毒可重复感染（靠的是补丁/特征库，不是"得过就免疫"）。
- "所有病毒都能破坏磁盘数据"⇒ 错误——绝对化错项；病毒的行为差异很大（有的只弹窗、有的加密勒索）。
四、易错坑汇总（命题人惯用陷阱）
- 文件型病毒不感染 HTML（2022 单71）——"文件型病毒能感染 HTML"错误（HTML 非可执行文件）。
- 蠕虫无需宿主（2024 单74）——"蠕虫需要宿主程序"错误（蠕虫独立运行自动传播；那是病毒）。
- 木马不自我复制（2022 单72）——"木马会自我复制感染文件"错误（木马伪装诱骗、不复制）。
- 防病毒防不了 DDoS（2019 单58）——"杀毒软件能防 DDoS"错误（流量型 vs 恶意代码）。
- 宏病毒感染文档——"宏病毒感染 EXE"错误（宏病毒=Word/Excel 文档）。
- 后门=秘密入口（2018 单68）——"后门是正常功能"错误（后门绕过认证）。
- 勒索=加密要赎金——"勒索软件只是弹广告"错误（核心是加密+要赎金）。
- WannaCry 是蠕虫+勒索——"WannaCry 只是木马"错误（蠕虫传播+勒索加密）。
五、横向扩展（防漏网：本章边界内、真题尚未考但可能补考的点）
说明：横向扩展覆盖"大纲范围内但 9 年真题未考过"的知识，标注【新增概率】供取舍。
- Rootkit【中】：隐藏自身/维持权限的工具——与后门衔接。
- 间谍软件（Spyware）【低】：偷偷收集用户信息——名词题。
- 键盘记录器【低】：记录击键窃取口令——名词题。
- 恶意广告（Malvertising）【低】：通过广告传播——名词题。
- 无文件攻击（Fileless）【低】：不落盘、内存中执行——名词题。
- 僵尸网络（Botnet）【中】：被控主机组成的网络（DDoS 源头）——与 7.4 DDoS 衔接。
- 沙箱检测恶意代码【中】：隔离运行可疑文件观察行为——与 7.5 沙箱衔接。
- 勒索软件恢复策略【高】：备份是唯一可靠恢复手段——与 4.6 备份衔接（2024 多96 考过）。
六、真题演练（代表性真题 + 解析）
例 1（2022 单71） 文件型病毒不能感染的文件类型是（口径已核）。 A. COM B. EXE C. SYS D. HTML
答案：D。文件型病毒感染可执行文件（COM/EXE/SYS），不感染 HTML（网页文本）。口诀：文件型病毒咬 EXE、不咬 HTML。
例 2（2024 单74） WannaCry 勒索病毒属于（口径已核）类型的恶意代码。 A. 宏病毒 B. 木马 C. 蠕虫 D. 引导区病毒
答案：C。WannaCry 自我复制、网络自动传播=蠕虫（同时具备勒索功能）。口诀：WannaCry 是蠕虫。
例 3（2022 单72） 伪装成正常软件诱骗用户安装、安装后窃取信息的恶意代码是（口径已核）。 A. 病毒 B. 木马 C. 蠕虫 D. 后门
答案：B。木马=伪装诱骗安装；病毒感染文件、蠕虫自传播、后门是秘密入口。口诀：披着羊皮的木马。
例 4（2018 单68） 为绕过正常身份认证、实现隐蔽访问而设置的秘密入口是（口径已核）。 A. 木马 B. 后门 C. 蠕虫 D. 宏病毒
答案：B。后门=绕过认证的秘密入口。口诀：后门=秘密通道。
例 5（2019 单58） 个人防病毒软件无法防御的攻击是（口径已核）。 A. 木马 B. 蠕虫 C. DDoS D. 宏病毒
答案：C。DDoS 是流量型攻击，防病毒软件防不了；木马/蠕虫/宏病毒都是恶意代码（能防）。口诀：杀毒管毒、不管洪水。
例 6（2026 单49） 运维人员在设备升级过程中恶意修改配置、设置隐藏攻击途径，属于（口径已核）攻击。 A. 物理破坏 B. 拒绝服务 C. 被动攻击 D. 分发攻击
答案：D。升级/分发环节植入恶意 = 分发攻击。口诀：升级时动手脚=分发攻击。
七、本章小结
- 一条主线：病毒（文件型/宏）→ 蠕虫（自传播）→ 木马（伪装诱骗）→ 勒索（加密要赎金）→ 后门（秘密入口）→ 防病毒局限（防不了 DDoS）→ 分发攻击。
- 必背判定：文件型不感染 HTML（2022 单71）；WannaCry=蠕虫（2024 单74）；木马伪装（2022 单72、2025 单65 社工诱骗）；后门秘密入口（2018 单68）；防病毒防不了 DDoS（2019 单58）。
- 衔接预告：木马反向连接→7.4；WannaCry 补丁→6.9；勒索备份→4.6。