计算机病毒定义分类

　　分类

　　破坏性

　　良性病毒、恶性病毒、极恶性病毒、灾难性病毒。

　　传染方式

　　1.引导区型病毒主要通过软盘在操作系统中传播，感染引导区，蔓延到硬盘，并能感染到硬盘中的"主引导记录"。

　　2.文件型病毒是文件感染者，也称为“寄生病毒”。它运行在计算机存储器中，通常感染扩展名为COM、EXE、SYS等类型的文件。

　　3.混合型病毒具有引导区型病毒和文件型病毒两者的特点。

　　4.宏病毒是指用BASIC语言编写的病毒程序寄存在Office文档上的宏代码。宏病毒影响对文档的各种操作。

　　连接方式

　　1.源码型病毒攻击高级语言编写的源程序，在源程序编译之前插入其中，并随源程序一起编译、连接成可执行文件。源码型病毒较为少见，亦难以编写。

　　2.入侵型病毒可用自身代替正常程序中的部分模块或堆栈区。因此这类病毒只攻击某些特定程序，针对性强。一般情况下也难以被发现，清除起来也较困难。

　　3.操作系统型病毒可用其自身部分加入或替代操作系统的部分功能。因其直接感染操作系统，这类病毒的危害性也较大。

　　4.外壳型病毒通常将自身附在正常程序的开头或结尾，相当于给正常程序加了个外壳。大部份的文件型病毒都属于这一类。

　　计算机病毒种类繁多而且复杂，按照不同的方式以及计算机病毒的特点及特性，可以有多种不同的分类方法。同时，根据不同的分类方法，同一种计算机病毒也可以属于不同的计算机病毒种类。

　　按照计算机病毒属性的方法进行分类，计算机病毒可以根据下面的属性进行分类。

　　根据病毒存在的媒体划分：

　　网络病毒——通过计算机网络传播感染网络中的可执行文件。

　　文件病毒——感染计算机中的文件（如：COM，EXE，DOC等）。

　　引导型病毒——感染启动扇区（Boot）和硬盘的系统引导扇区（MBR）。

　　还有这三种情况的混合型，例如：多型病毒（文件和引导型）感染文件和引导扇区两种目标，这样的病毒通常都具有复杂的算法，它们使用非常规的办法侵入系统，同时使用了加密和变形算法。

　　根据病毒传染渠道划分：

　　驻留型病毒——这种病毒感染计算机后，把自身的内存驻留部分放在内存（RAM）中，这一部分程序挂接系统调用并合并到操作系统中去，它处于激活状态，一直到关机或重新启动

　　●非驻留型病毒——这种病毒在得到机会激活时并不感染计算机内存，一些病毒在内存中留有小部分，但是并不通过这一部分进行传染，这类病毒也被划分为非驻留型病毒。

　　根据破坏能力划分：

　　●无害型——除了传染时减少磁盘的可用空间外，对系统没有其它影响。

　　●无危险型——这类病毒仅仅是减少内存、显示图像、发出声音及同类影响。

　　●危险型——这类病毒在计算机系统操作中造成严重的错误。

　　●非常危险型——这类病毒删除程序、破坏数据、清除系统内存区和操作系统中重要的信息。

　　根据算法划分：

　　●伴随型病毒——这类病毒并不改变文件本身，它们根据算法产生EXE文件的伴随体，具有同样的名字和不同的扩展名（COM），例如：XCOPY.EXE的伴随体是XCOPY-COM。病毒把自身写入COM文件并不改变EXE文件，当DOS加载文件时，伴随体优先被执行到，再由伴随体加载执行原来的EXE文件。

　　●“蠕虫”型病毒——通过计算机网络传播，不改变文件和资料信息，利用网络从一台机器的内存传播到其它机器的内存，计算机将自身的病毒通过网络发送。有时它们在系统存在，一般除了内存不占用其它资源。

　　●寄生型病毒——除了伴随和“蠕虫”型，其它病毒均可称为寄生型病毒，它们依附在系统的引导扇区或文件中，通过系统的功能进行传播，按其算法不同还可细分为以下几类。

　　练习型病毒，病毒自身包含错误，不能进行很好的传播，例如一些病毒在调试阶段。

　　诡秘型病毒，它们一般不直接修改DOS中断和扇区数据，而是通过设备技术和文件缓冲区等对DOS内部进行修改，不易看到资源，使用比较高级的技术。利用DOS空闲的数据区进行工作。

　　变型病毒（又称幽灵病毒），这一类病毒使用一个复杂的算法，使自己每传播一份都具有不同的内容和长度。它们一般的作法是一段混有无关指令的解码算法和被变化过的病毒体组成。

　　命名

　　计算机病毒命名，DOS系统下病毒无前缀。（一般病毒命名格式：<前缀>.<病毒名>.<后缀>）

　　前缀

　　含义

　　WM Word6.0、Word95宏病毒

　　WM97 Word97宏病毒

　　XM Excel5.0、Excel95宏病毒

　　X97M Excel5.0和Excel97版本下发作

　　XF Excel程序病毒

　　AM Access95宏病毒

　　AM97M Access97宏病毒

　　W95 Windows95、98病毒

　　Win Windows3.x病毒

　　W32 32位病毒，感染所有32位Windows系统

　　WINT 32位Windows病毒，只感染Windows NT

　　Trojan/Troj 特洛伊木马

　　VBS VBScript程序语言编写的病毒

　　VSM Visio VBA宏或script的宏或script病毒

　　JS JScript编程语言编写的病毒

　　PE 32位寻址的Windows病毒

　　OSX OS X的病毒

　　OSXL OS X Lion或者更新版本的病毒

　　征兆预防

　　病毒征兆

　　屏幕上出现不应有的特殊字符或图像、字符无规则变或脱落、静止、滚动、雪花、跳动、小球亮点、莫名其妙的信息提等。

　　发出尖叫、蜂鸣音或非正常奏乐等。

　　经常无故死机，随机地发生重新启动或无法正常启动、运行速度明显下降、内存空间变小、磁盘驱动器以及其他设备无缘无故地

　　磁碟机（2007年）

　　变成无效设备等现象。

　　磁盘标号被自动改写、出现异常文件、出现固定的坏扇区、可用磁盘空间变小、文件无故变大、失踪或被改乱、可执行文件（exe）变得无法运行等。

　　打印异常、打印速度明显降低、不能打印、不能打印汉字与图形等或打印时出现乱码。

　　收到来历不明的电子邮件、自动链接到陌生的网站、自动发送电子邮件等。

　　保护预防

　　程序或数据神秘地消失了，文件名不能辨认等；注意对系统文件、可执行文件和数据写保护；不使用来历不明的程序或数据；尽量不用软盘进行系统引导。

　　不轻易打开来历不明的电子邮件；使用新的计算机系统或软件时，先杀毒后使用；备份系统和参数，建立系统的应急计划等。安装杀毒软件。分类管理数据。

　　免杀技术以及新特征

　　免杀是指：对病毒的处理，使之躲过杀毒软件查杀的一种技术。通常病毒刚从病毒作者手中传播出去前，本身就是免杀的，甚至可以说“病毒比杀毒软件还新，所以杀毒软件根本无法识别它是病毒”，但由于传播后部分用户中毒向杀毒软件公司举报的原因，就会引起安全公司的注意并将之特征码收录到自己的病毒库当中，病毒就会被杀毒软件所识别。

　　病毒作者可以通过对病毒进行再次保护如使用汇编加花指令或者给文档加壳就可以轻易躲过杀毒软件的病毒特征码库而免于被杀毒软件查杀。

　　美国的Norton Antivirus、McAfee、PC-cillin，俄罗斯的Kaspersky Anti-Virus，斯洛伐克的NOD32等产品在国际上口碑较好，但杀毒、查壳能力都有限，目前病毒库总数量也都仅在数十万个左右。

　　自我更新性是近年来病毒的又一新特征。病毒可以借助于网络进行变种更新，得到最新的免杀版本的病毒并继续在用户感染的计算机上运行，比如熊猫烧香病毒的作者就创建了“病毒升级服务器”，在最勤时一天要对病毒升级8次，比有些杀毒软件病毒库的更新速度还快，所以就造成了杀毒软件无法识别病毒。

　　除了自身免杀自我更新之外，很多病毒还具有了对抗它的“天敌”杀毒软件和防火墙产品反病毒软件的全新特征，只要病毒运行后，病毒会自动破坏中毒者计算机上安装的杀毒软件和防火墙产品，如病毒自身驱动级Rootkit保护强制检测并退出杀毒软件进程，可以过主流杀毒软件“主动防御”和穿透软、硬件还原的机器狗，自动修改系统时间导致一些杀毒软件厂商的正版认证作废以致杀毒软件作废，从而病毒生存能力更加强大。

　　免杀技术的泛滥使得同一种原型病毒理论上可以派生出近乎无穷无尽的变种，给依赖于特征码技术检测的杀毒软件带来很大困扰。近年来，国际反病毒行业普遍开展了各种前瞻性技术研究，试图扭转过分依赖特征码所产生的不利局面。目前比较有代表性产品的是基于虚拟机技术的启发式扫描软件，代表厂商NOD32，Dr.Web，和基于行为分析技术的主动防御软件，代表厂商中国的微点主动防御软件等。