下载文档原格式
恶意样本分析⼿册——常⽤⽅法篇⼀、⽂件识别常见的可执⾏程序格式有PE，ELF，MACH-O等，不同的格式有不同的标志信息(参考理论篇)，知道了⽬标⽂件的格式后才能确定对应的分析⽅法和分析⼯具。
可以使⽤16进制解析器载⼊可执⾏程序，然后查看是哪种类型的⽂件。
图：PE⽂件格式图：ELF⽂件格式⼀般⼆进制⽂件的前四个字节为⽂件格式的magic，可以通过从⽹络搜索获得⽂件的信息，或者使⽤相关的⼯具(PEID，file)等进⾏⾃动识别。
⼆、静态分析静态分析技术通常是研究恶意代码的第⼀步。
静态分析指的是分析程序指令与结构来确定⽬标程序的功能的过程。
在这个时候，病毒本⾝并不在运⾏状态。
我们⼀般采⽤以下⼏种⽅式进⾏静态分析：1. 采⽤反病毒引擎扫描如果尚不确定⽬标程序是否为病毒程序，我们可以⾸先采⽤多个不同的反病毒软件来扫描⼀下这个⽂件，看是否有哪个引擎能够识别它。
(、 )注意：只能通过MD5值查询，不允许将样本进⾏上传。
图：VitusTotal检测结果界⾯2. 计算哈希值哈希是⼀种⽤来唯⼀标识⽬标程序的常⽤⽅法。
⽬标程序通过⼀个哈希算法，会产⽣出⼀段唯⼀的⽤于标识这个样本的哈希值，我们可以将这个值理解为是⽬标程序的指纹。
常⽤的哈希算法有MD5、Sha-1以及CRC32等。
由于仅仅采⽤⼀种算法，特别是MD5算法，有可能使得不同程序产⽣同样的哈希结果，所以⼀般会运⽤多种哈希验证⽂件的唯⼀性。
图：计算⽂件校验码3. 查找字符串程序中的字符串就是⼀串可打印的字符序列，⼀个程序通常都会包含⼀些字符串，⽐如打印输出信息、连接的URL，或者是程序所调⽤的API函数等。
从字符串中进⾏搜索是获取程序功能提⽰的⼀种简单⽅法。
(在IDA和OD中都可以查找字符串)并不是所有的字符串都是有意义的，但是利⽤这个结果，也能够给我们的静态分析带来很⼤的便利了。
图：查看字符串信息4. 查找导⼊函数如果软件被加壳的话，那么导⼊表中的函数会很少，所以可以从这⾥判断⽂件是否被加壳。
危险的文件扩展名及如何避免它们随着科技的不断进步，我们在日常生活中越来越依赖电脑和互联网来完成不同的任务。
然而，我们也必须警惕电子设备中存在的潜在威胁，特别是那些可能危害到我们数据安全的文件扩展名。
本文将简要介绍一些危险的文件扩展名，并探讨如何避免它们对我们的电脑造成损害。
1. exe文件扩展名：行动前必看可执行文件，也就是以.exe为扩展名的文件，是最常见的计算机病毒传播方式之一。
这些文件装载了病毒代码，一旦被执行，病毒就会在你的电脑中活跃起来，可能导致数据丧失或机器崩溃。
为了避免这种危险，我们需要增强对文件来源的警惕性，并使用权威的杀毒软件进行扫描。
2. zip压缩文件扩展名：隐藏的惊喜？许多人在日常工作中经常使用ZIP压缩文件进行文件传输和存储。
然而，一些恶意人士也利用ZIP文件来隐藏恶意代码和病毒。
当我们接收到ZIP压缩文件时，除非我们确切知道发送者的身份和意图，否则不应轻率地解压文件。
使用杀毒软件检测压缩文件中的潜在威胁是个明智的选择。
3. doc和docx文档扩展名：文档的暗影.doc和.docx是常见的Microsoft Word文档扩展名，它们被广泛用于办公和学习。
然而，一些恶意软件利用文档的格式漏洞感染用户的电脑。
要保护我们的设备不受损害，最好禁止打开来路不明的文档。
此外，我们也可以对文档进行转换，将其保存为PDF或其他格式，以减少被潜在威胁感染的风险。
4. jpg和jpeg图像扩展名：欺骗的方式图像文件应该是无害的，但一些黑客利用了一些安全漏洞，将恶意代码嵌入这些文件中。
这种情况发生的几率较低，但仍然需要警惕。
当我们浏览网络时，不要下载来路不明的图片，以减少暴露于潜在威胁的风险。
5. pdf文件扩展名：难以置信的威胁PDF文件是另一个常见的文件格式，经常用于共享文档。
然而，一些恶意软件也会滥用PDF格式来传播病毒。
为了避免被感染，我们应该只从可信的来源下载PDF文件，并在打开之前使用杀毒软件进行扫描。
危险的文件格式-回复标题：危险的文件格式：识别与防护在数字化的世界中，我们每天都会接触到各种各样的文件格式，如PDF、DOCX、JPEG等。
然而，并非所有的文件格式都是安全无害的。
一些特定的文件格式可能隐藏着恶意代码或病毒，一旦打开，可能会对我们的电脑系统造成严重损害。
本文将深入探讨这些危险的文件格式，如何识别它们，以及如何进行有效的防护。
一、识别危险的文件格式1. 可执行文件格式：如EXE、COM、BAT等。
这些文件格式可以直接在操作系统上运行，因此常常被黑客利用来植入恶意代码。
如果你收到一个来自不明来源的可执行文件，应极度警惕。
2. 脚本文件格式：如VBS、JS、PHP等。
这些文件包含可以被执行的代码，如果代码中包含恶意指令，那么在执行脚本时就可能导致系统感染病毒。
3. 宏文件格式：如DOC、XLS等带有宏的Office文档。
宏是一种可以在文档中嵌入并自动执行的命令序列，黑客可以通过创建包含恶意宏的文档来传播病毒。
4. 压缩文件格式：如RAR、ZIP等。
虽然压缩文件本身并不危险，但如果其中包含了恶意软件或者被病毒感染的文件，那么解压后就可能导致系统感染。
二、如何防护危险的文件格式1. 更新和安装防病毒软件：防病毒软件是防范危险文件格式的第一道防线。
定期更新防病毒软件可以确保其病毒库是最新的，能够识别和拦截最新的恶意文件。
2. 不随意打开未知来源的文件：对于来自不明来源的文件，尤其是可执行文件和带有宏的Office文档，应谨慎对待。
在确定文件来源可靠之前，最好不要轻易打开。
3. 使用防火墙：防火墙可以阻止未经授权的访问和数据传输，防止恶意软件通过网络进入你的电脑系统。
4. 定期备份重要数据：即使采取了所有防护措施，也不能完全排除系统被病毒感染的可能性。
因此，定期备份重要数据是非常必要的，以防万一。
5. 提高网络安全意识：了解常见的网络威胁和攻击手段，提高自我保护意识，不轻易点击未知链接，不下载不明来源的文件，这些都是避免危险文件格式的有效方法。
![[重点]java脚本病毒](https://uimg.taocdn.com/516e769603d276a20029bd64783e0912a2167c25.webp)
一．网页恶意代码病毒网页中的恶意代码一般分为如下几种：（1）消耗系统资源通过不断消耗本机系统资源，使计算机不能处理其它进程，导致系统与网络瘫痪。
这类病毒大都是使用JavaScript产生一个死循环，它可以在有恶意的网站中出现，也可以被当做邮件的附件发给用户，当用户打开HTML、VBS附件时，屏幕出现无数个浏览器窗口，最后不得不重启计算机。
（2）非法向用户的硬盘写入文件有些个人主页或邮件含有可以格式化本地硬盘的恶意代码，主要利用和deltree.exe命令实现。
（3）IE泄密利用IE浏览器的漏洞，网页可以读取客户机的文件，攻击者获取用户账号与密码。
（4）利用邮件非法安装木马二．JavaScript简介众所周知，HTML网页在互动性方面能力较弱，例如下拉菜单，用户点击某一菜单项时，自动出现该菜单项的所有子菜单，用纯HTML网页无法实现；又如验证HTML表单提交信息的有效性，用户名不能为空，密码不能少于4位，输入字符只能是数字之类，用纯HTML网页也无法实现。
要实现这些功能，就需要用到JavaScript。
JavaScript是一种解释性的、基于对象的脚本语言，比HTML要复杂。
使用JavaScript编写的程序都是以源代码的形式出现的，也就是说在一个网页里看到一段比较好的JavaScript代码，可以直接拷贝到其它网页中去。
也正是因为可以借鉴、参考优秀网页的代码，所以让JavaScript本身变得非常受欢迎，从而被广泛使用。
JavaScript主要是基于客户端运行的，用户点击带有JavaScript的网页，网页里的JavaScript就传到浏览器，由浏览器对此作处理。
前面提到的下拉菜单、验证表单有效性等大量互动性功能，都是在客户完成的，不需要和Web服务器发生任何数据交换，因此，不会增加Web服务器的负担。
几乎所有浏览器都支持JavaScript，如Internet Explorer（IE）、Firefox、Netscape、Mozilla、Chrome等。
2022年职业考证-软考-信息安全工程师考试全真模拟全知识点汇编押题第五期（含答案）一.综合题(共15题)1.单选题2001年11月26日，美国政府正式颁布AES为美国国家标准。
AES算法的分组长度为128位，其可选的密钥长度不包括（）。
问题1选项A.256位B.192位C.128位D.64位【答案】D【解析】本题考查分组加密AES密码算法方面的基础知识。
AES的密钥长度可以为16、24或者32字节，也就是128、192、 256 位。
2.单选题对于提高人员安全意识和安全操作技能来说，以下所列的安全管理方法最有效的是（）。
问题1选项A.安全检查B.安全教育和安全培训C.安全责任追究D.安全制度约束【答案】B【解析】本题考查网络安全能力提升和安全意识的相关知识。
由于题目要求的是提高人员安全意识和安全操作技能，从安全管理角度来说，最有效的方法是进行安全教育和安全培训，其余三项皆是通过外力对人员进行相关约束。
只有通过安全教育和安全培训，提高了人员自身的信息安全素养，才能实现最高效的“管理”。
故本题选B。
点播：此类题型主要从提高自身信息安全素养方面进行考查。
3.单选题基于公开密钥的数字签名算法对消息进行签名和验证时，正确的签名和验证方式是（）。
问题1选项A.发送方用自己的公开密钥签名，接收方用发送方的公开密钥验证B.发送方用自己的私有密钥签名，接收方用自己的私有密钥验证C.发送方用接收方的公开密钥签名，接收方用自己的私有密钥验证D.发送方用自己的私有密钥签名，接收方用发送方的公开密钥验证【答案】D【解析】本题考查数字签名相关知识。
根据数字签名工作的基本流程，假设Alice需要签名发送一份电子合同文件给Bob。
Alice的签名步骤如下：第一步，Alice使用Hash函数将电子合同文件生成一个消息摘要；第二步，Alice使用自己的私钥，把消息摘要加密处理，形成一个数字签名；第三步，Alice把电子文件合同和数字签名一同发送给Bob。
常见禁止上传的附件格式
常见禁止上传的附件格式包括如下：
1.宏文件：如VBA、VBS、VBE、VBScript等，这些文件可能包含恶意代码，会对计算机安
全造成威胁。
2.病毒文件：如PE、COM、EXE等，这些文件可能携带病毒，会破坏计算机系统或窃取个
人信息。
3.恶意软件：如间谍软件、广告软件、木马程序等，这些软件会在用户不知情的情况下，
在其电脑上安装后门、收集用户信息或干扰用户正常使用。
4.私有格式文件：这些文件可能包含敏感信息，且不容易被正常用户理解。
5.涉密文件：如国家机密、商业机密等，这些文件可能对国家或企业的安全造成威胁。
6.大型文件：如大型数据库文件、视频文件等，这些文件可能占用大量的服务器资源，影
响服务器的正常运行。
7.不雅文件：这些文件可能对用户造成不适或伤害。
需要注意的是，不同平台和机构对禁止上传的附件格式可能会有不同的规定，用户在上传附件时应仔细阅读相关规定，确保上传的文件格式符合要求。
xss相关格式-回复[xss相关格式] 详细解析：什么是XSS攻击以及相关格式引言：在当今数字化时代，互联网的普及和发展使得在线网站和应用成为人们生活中不可或缺的一部分。
然而，与其崛起相伴的也带来了一系列的网络安全威胁。
其中，跨站脚本攻击(XSS攻击)是最为常见和危险的一种攻击手段之一。
本文将着重探讨XSS攻击的相关格式，以帮助读者更全面地了解此类攻击，并提供防御建议。
第一部分：XSS攻击的定义和原理1.1 什么是XSS攻击？XSS攻击是一种利用网络应用程序中的安全漏洞来注入恶意脚本的攻击方式。
通过在网页中注入恶意代码，攻击者可以窃取用户的敏感信息、篡改页面内容，甚至利用被攻击站点伪造网站进行更多的网络攻击。
1.2 XSS攻击的原理是什么？XSS攻击的原理是通过在网页中插入恶意脚本，使之在浏览器端执行。
当用户访问被注入恶意脚本的网页时，浏览器会执行该脚本，从而导致攻击者能够获取用户的敏感信息或者执行其他恶意操作。
第二部分：XSS攻击的常见格式2.1 反射型XSS攻击反射型XSS攻击是将恶意脚本作为URL参数传递给目标网站，然后网站将该参数内容直接输出到页面上。
如果网站没有对参数进行适当的过滤和处理，恶意脚本就会在用户访问时被执行。
2.2 存储型XSS攻击存储型XSS攻击是将恶意脚本上传到目标网站的服务器，并将其存储在数据库中。
当其他用户访问包含恶意脚本的页面时，服务器将从数据库中读取并输出该脚本内容，从而导致攻击成功。
2.3 DOM型XSS攻击DOM型XSS攻击是指攻击者通过修改页面的DOM结构来执行恶意脚本。
与反射型和存储型XSS攻击不同，DOM型XSS攻击不涉及到数据的传输和存储，而是利用浏览器的解析过程中的漏洞执行恶意脚本。
第三部分：XSS攻击的防御方法3.1 输入过滤和输出编码为了防止XSS攻击，网站应该对用户的输入进行过滤和验证。
使用合适的输入过滤和输出编码可以保证用户输入的内容不会被当做脚本执行，从而有效地防止XSS攻击。
弱口令格式-回复研究表明，弱口令是许多网络攻击的根源。
弱口令的格式通常包括字母、数字和特殊字符的组合，而且往往是预测容易的组合。
本文将以弱口令格式为主题，向读者解释弱口令的概念以及如何创建强口令来保护自己的账户和信息安全。
一、弱口令的定义与危害弱口令是指那些容易被破解的密码。
这些密码通常太简单、太短或过于常见，容易被猜测或破解。
常见的弱口令格式包括纯数字、字母、或常见字典词汇的组合。
弱口令给个人和组织的账号安全带来巨大威胁，潜在风险包括入侵、盗窃、信息泄漏等。
二、弱口令的实例以下是一些常见的弱口令格式的示例：1. 纯数字：123456、000000、1234等。
2. 简单序列：abcdefg、123abc等。
3. 重复的字符：111111、aaaaaa等。
4. 常见的日期：19900101、20121212等。
5. 字典词汇：password、admin等。
三、创建强口令的原则为了保护个人和组织的账户安全，创建强口令是至关重要的。
以下是一些创建强口令的原则：1. 长度：口令长度应该足够长，一般建议至少8个字符以上。
2. 复杂性：口令应该包含数字、大写字母、小写字母和特殊字符的组合，以增加破解难度。
3. 避免常见形式：应该避免使用常见的、容易被猜测到的形式，如日期、常见词汇、简单的字母序列等。
4. 不同账号不同口令：应该使用不同的口令来保护不同的账号，以防止一旦一个口令泄漏，其他账号也受到威胁。
5. 定期更换：定期更换口令可以提高安全性，减少被猜测或破解的可能性。
四、创建安全和易记的强口令的技巧创建一个安全又容易记忆的强口令可能有些挑战，但以下技巧可以帮助您：1. 利用首字母缩写：选择您最喜欢的诗句、歌曲或一句话，然后通过使用每一个词的首字母来构成您的密码。
2. 使用图形替代字符：将一些字母替换成特殊字符或符号，如将"a"替换为""或"o"替换为"0"等。
一、恶意代码是指能够破坏计算机系统功能；未经用户许可非法使用计算机系统；影响计算机系统、网络正常运行；窃取用户信息的计算机程序或代码。
二、PE病毒的新变种PE＿MUSTAN.B，提醒用户小心谨防。
特点：该病毒具有感染可执行文件的能力，会利用远程桌面协议(RDP)端口进行传播，进而感染操作系统中的所有可执行文件。
破坏方法：该病毒运行后，受感染操作系统的系统目录下的系统文件会被替换，并且会迫使受感染的操作系统主动连接访问互联网络中指定的Web服务器，下载其他木马、病毒等恶意程序，对计算机用户操作系统进行进一步恶意攻击。
防范措施：针对已经感染该病毒的计算机用户，建议立即升级系统中的防病毒软件，进行全面杀毒。
对未感染的用户建议打开系统中防病毒软件的“系统监控”功能，从注册表、系统进程、内存、网络等多方面对各种操作进行主动防御。
三、PE（Portable Executable）病毒，又称为Win32 PE病毒，或简称为Win32病毒。
它指所有感染Windows下PE文件格式文件的病毒。
因为它通常采用Win32汇编编写，而且格式为PE，因此得名。
特点：此病毒启动后会将自己拷贝到系统目录下并且在后台隐藏运行。
破坏方法：此病毒将自己注册成为服务进程在后台隐藏运行，尝试连接网路，如果网络连接失败的话，此病毒还会尝试利用拨号连接网络，此病毒网络连接成功后会向指定的地址利用HTTP的方式下载文件到本地，并且还会拦截用户的操作，窃取指定软件的安全信息并保存在指定的文件中，然后利用FTP的方式将文件上传到指定的地址中。
查杀预防：1、建议重启电脑进入安全模式，然后在拔掉网线的情况下全盘杀毒。
2、通过WINDOWS UPDATE升级关键安全更新补丁，关闭不安全的共享以及使用复杂组合的登录密码能有效的防止这类蠕虫的再次感染。
使用网络防火墙也可以达到一定程度的预防。
恶意代码的命名规则恶意代码对于网络的危害基本每个人都清楚，它威胁着网络的安全，旨在破坏计算机或者网络系统可靠性、可用性、安全性和数据完整性或者捐耗系统资源。
恶意代码有很多种类，它们的名字也千奇百怪，那么大家知道恶意代码的命名规则吗?我们来了解下吧。
反病毒公司为了方便管理，他们会按照恶意代码的特性，将恶意代码进行分类命名。
虽然每个反病毒公司的命名规则都不太一样，但大体都是采用一个统一的命名方法来命名的。
恶意代码的一般命名格式为<恶意代码前缀>.<恶意代码名称>.<恶意代码后缀>恶意代码前缀是指一个恶意代码的种类，比如常见的木马程序的前缀Trojan，网络蠕虫的前缀是Wonn，后门的前缀为BackDoor等等，对于感染型病毒程序而言，前缀有时候也表示了该病毒发作的操作平台，如Macro，PE,Win32,Win95,VBS，…，恶意代码的前缀有时候也可能包含多个。
恶意代码名称是指一个恶意代码的家族特征，如著名的CIH病毒的家族名都是统一的"CIH"，震荡波蠕虫的家族名是"Sasser"，冲击波蠕虫的家族名是"MSBlaster"。
恶意代码后缀的数量可以有1到多个，如果只有1个，通常是指一个恶意代码的变种特征，是用来区别具体某个家族恶意代码的某个变种的。
一般都采用英文中的26个字母来表示，如Wonn.Sasser.b就是指震荡波蠕虫的变种B，因此一般称为"震荡波B变种"或者"震荡波变种B"。
如果该恶意代码变种非常多(也表明该病毒生命力顽强)，可以采用数字与字母混合表示变种标识。
恶意代码后缀也可以用来表明恶意代码的其他更明确的特征，如@m表示其可以通过邮件传播，@mm表示其具有邮件群发(mass-mailer)功能。
常用恶意代码前缀解释1.系统病毒系统病毒的前缀为Win32、PE、Win95、W32、W95等。
移动互联网恶意代码描述规范 Specification for Mobile Internet Malicious Code中国互联网协会网络与信息安全工作委员会目 录1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)3.1 术语和定义 (1)3.1.1 移动互联网恶意代码 (1)3.1.2 移动互联网恶意代码样本 (1)4 移动互联网恶意代码属性 (1)4.1 恶意扣费 (2)4.2 隐私窃取 (2)4.3 远程控制 (3)4.4 恶意传播 (3)4.5 资费消耗 (4)4.6 系统破坏 (4)4.7 诱骗欺诈 (5)4.8 流氓行为 (5)5 移动互联网恶意代码命名规范 (6)5.1 移动互联网恶意代码命名格式 (6)5.2 受影响操作系统编码 (6)5.3 恶意代码属性主分类编码 (7)5.4 恶意代码名称 (7)5.5 变种名称 (7)前言当前移动互联网的迅速发展，加速了恶意代码在移动智能终端上的传播与增长。
这些恶意代码往往被用于窃取用户个人隐私信息，非法订购各类增值业务，造成用户直接经济损失。
移动互联网恶意代码直接关系我国移动互联网产业的健康发展和广大移动终端用户的切身利益。
目前各移动运营企业、网络安全组织、安全厂商、研究机构对移动互联网恶意代码命名规范、描述格式各不相同，导致无法共享除恶意代码样本以外的重要细节信息，成为恶意代码信息交流的自然屏障。
为了加强移动互联网恶意代码信息共享，规范移动互联网恶意代码的认定，增进社会对恶意代码的辨识度，需要统一规范移动互联网恶意代码的认定标准、命名规则和描述格式。
本规范定义了移动互联网恶意代码样本的描述方法以解决上述问题。
本规范起草单位（排名不分先后）：国家计算机网络应急技术处理协调中心中国电信集团公司中国移动通信集团公司中国联合网络通信集团有限公司中国互联网络信息中心阿里巴巴（中国）有限公司安天科技股份有限公司百度在线网络技术（北京）有限公司北京江民新科技术有限公司北京启明星辰信息安全技术有限公司北京瑞星信息技术有限公司北京神州绿盟科技有限公司北京世纪互联宽带数据中心有限公司北京搜狐互联网信息服务有限公司北京天融信科技有限公司北京万网志成科技有限公司北京网秦天下科技有限公司广州网易计算机系统有限公司 金山网络技术有限公司奇虎三六零软件(北京)有限公司 深圳市腾讯计算机系统有限公司 新浪网技术(中国)有限公司北京西塔网络科技股份有限公司 北京知道创宇信息技术有限公司 恒安嘉新（北京）科技有限公司 华为技术有限公司西门子（中国）有限公司优视科技有限公司1范围本规范规定了移动互联网恶意代码关于其定义、属性、命名格式等规范。
恶意代码常见格式
恶意代码(maliciouscode)又称为恶意软件(malicioussoftware，Malware)，是能够在计算机系统中进行非授权操作，以实施破坏或窃取信息的代码。
恶意代码范围很广，包括利用各种网络、操作系统、软件和物理安全漏洞来向计算机系统传播恶意负载的程序性的计算机安全威胁。
也就是说，我们可以把常说的病毒、木马、后门、垃圾软件等一切有害程序和应用都可以统称为恶意代码。
一、恶意代码分类
病毒(Virus)：很小的应用程序或一串代码，能够影响主机应用。
两大特点：繁殖(propagation)和破坏(destruction)。
繁殖功能定义了病毒在系统间扩散的方式，其破坏力则体现在病毒负载中。
特洛伊木马(TrojanHorses)：可以伪装成他类的程序。
看起来像是正常程序，一旦被执行，将进行某些隐蔽的操作。
比如一个模拟登录接口的软件，它可以捕获毫无戒心的用户的口令。
可使用HIDS检查文件长度的变化内核套件（Root 工具）：是攻击者用来隐藏自己的踪迹和保留root访问权限的工具逻辑炸弹(LogicBombs)：可以由某类事件触发执行，例如某一时刻(一个时间炸弹)，或者是某些运算的结果。
软件执行的结果可以千差万别，从发送无害的消息到系统彻底崩溃。
蠕虫(Worm):像病毒那样可以扩散，但蠕虫可以自我复
制，不需要借助其他宿主僵尸网络（Botnets）：是由C&C服务器以及僵尸牧人控制的僵尸网络。
间谍软件（Spyware）：间谍软件就是能偷偷安装在受害者电脑上并收集受害者的敏感信息的软件。
恶意移动代码：移动代码指可以从远程主机下载并在本地执行的轻量级程序，不需要或仅需要极少的人为干预。
移动代码通常在Web服务器端实现。
恶意移动代码是指在本地系统执行一些用户不期望的恶意动作的移动代码。
后门：指一类能够绕开正常的安全控制机制，从而为攻击者提供访问途径的一类恶意代码。
攻击者可以通过使用后门工具对目标主机进行完全控制。
广告软件（Adware）：自动生成（呈现）广告的软件。
上述分类只是个大概，各种恶意代码常常是你中有我，我中有你。
而且在实际中，攻击者经常会将多种恶意代码组合起来使用。
二、病毒类型功能
病毒前缀：前缀一般为恶意代码的类型，有些病毒也会添加平台作为前缀，在这种情况下，类型作为恶意代码命名的第一前缀，平台作为第二前缀。
类型：依据恶意代码传播方式或恶意功能的分类类别。
病毒：通过对系统和共享目录中文件进行感染，以实现自身复制并执行功能的恶意代码。
蠕虫：通过网络使恶意代码在不同设备中进行复制、传播和运行的恶意代码。
木马：攻击者通过欺骗方法在用户不知情的情况下安装到系统中的恶意代码。
后门：绕过系统安全性控制而具有操作权限的恶意代码。
勒索：通过加密用户文件使用户数据无法正常使用，并以此为条件向用户勒索赎金的恶意代码。
挖矿：攻击者通过向被感染设备植入挖矿工具，消耗被感染设备的计算资源进行挖矿，以获取数字货币收益的恶意代码。
广告：广告是一种附带广告功能，以流量作为盈利来源的恶意代码，其往往会强制安装并无法卸卸载。
平台：恶意代码执行需要的系统环境。
Win32：运行在Win32平台下的恶意代码
OSX：运行在Mac平台下的恶意代码
Linux：运行在Linux平台下的恶意代码
Java：运行在Java虚拟机下的恶意代码
Android：运行在安卓平台下的恶意代码
PHP：PHP开发的恶意代码
W97M：微软Office97的word恶意代码
病毒名：病毒名一般用恶意代码家族命名，恶意代码家族是指具有相似功能、相同来源、不同演进程度的恶意代码集合。
常见恶意代码家族如下。
Fujacks：熊猫烧香病毒家族，爆发于2006年，具有感染和蠕虫多种传播方式。
LoveLetter：爱虫蠕虫家族，爆发于2010年，通过群发告白邮件传播。
OnlineGames：盗号木马家族，爆发于2007年，通过配置可盗取多种游戏帐号密码。
Gpigeon：灰鸽子后门家族，可对被感染设备进行远程控制。
Wannacry：Wanacry勒索家族，爆发于2017年，可对磁盘文件进行加密，并在局域网传播，勒索用户提供比特比赎金进行解密。
BitcoinMiner：比特比挖矿家族，通过向设备植入比特比挖矿工具，实现后台比特比挖矿。
IeSearchBar：IE搜索工具条广告家族，可在用户IE浏览器地址栏处安装搜索工具条，主要通过捆绑安装。
病毒后缀：病毒后缀一般是指恶意代码的变种。
变种是指恶意代码家族演进过程中捕获分析后的标号。
病毒变种使用小写英文字母表示
a为恶意代码家族第一次发现的恶意代码。
b为恶意代码家族第一次发现的恶意代码变种。
z为恶意代码家族第二十五次发现的恶意代码变种。
病毒变种采用26进制
aa为恶意代码家族第二十六次发现的恶意代码变种。
