恶意软件：病毒、蠕虫、木马与勒索软件

恶意软件（即用于恶意目的的软件）是指任何被蓄意设计为造成损害、获取未经授权的访问权限或扰乱系统的软件。它是网络犯罪分子和国家级行动者使用的主要工具。

病毒是一种附着在合法程序或文件上的恶意软件。它需要人执行操作才能传播（例如打开受感染的文件）。执行后，它会自我复制，并可能损坏文件、窃取数据或开启后门。

蠕虫是一种可以自我复制的恶意软件，无需人工交互即可在网络中传播。它会利用网络服务中的漏洞。著名示例包括 WannaCry（SMB）、Conficker 和 Morris Worm。

木马会伪装成合法软件。与病毒不同，木马不会自我复制，而是依赖用户安装它。安装后，它可能创建后门、窃取数据或下载其他恶意软件（投放器）。

勒索软件会加密受害者的文件，并索要解密密钥的费用。现代勒索软件运营者还会在加密前窃取数据（双重勒索），并威胁称如果不支付赎金就公开这些数据。

示例：LockBit、REvil、Conti、WannaCry。

间谍软件会秘密监视用户活动，包括击键记录、屏幕截图和浏览历史，并将其传输给攻击者。广告软件会显示不需要的广告，而且通常与免费软件捆绑。两者都可能与其他类型的恶意软件结合使用。

根套件会通过修改操作系统内核或引导加载程序来隐藏自身及其他恶意软件的存在。根套件极难检测，因为它们会控制用于查找自身的工具。检测通常需要进行离线扫描。

僵尸网络是由攻击者（僵尸网络控制者）远程控制的受感染机器网络（即僵尸主机）。僵尸主机可用于 DDoS 攻击、垃圾邮件活动、凭据填充和加密货币挖矿。受害者通常不知道自己的设备已经遭到入侵。

无文件恶意软件完全驻留在内存（RAM）中，不将文件写入磁盘，因此可以躲避传统的基于文件的杀毒软件。它通常会利用 PowerShell 或 WMI 等合法系统工具。检测需要进行内存分析和行为监控。

常见感染途径：

• 网络钓鱼邮件附件
• 从网络下载恶意文件
• 通过遭入侵网站进行的路过式下载
• 在停车场投放 USB 设备
• 利用未打补丁的软件漏洞

防御层：

• EDR — 行为检测与响应
• 邮件过滤 — 在交付前对附件进行沙箱处理
• 补丁管理 — 消除可被利用的机会
• 最小权限 — 限制恶意软件造成的损害范围
• 备份 — 用于勒索软件恢复的离线副本

恶意软件类别包括病毒（需要用户操作）、蠕虫（自我传播）、木马（伪装的软件）、勒索软件（通过加密文件索要赎金）、根套件（隐藏在操作系统中）和无文件恶意软件（驻留内存）。防御需要分层控制措施：EDR、邮件过滤、修补漏洞、最小权限和备份。