惡意軟體是危害裝置或資料的不良軟體的總稱。本文講解主要的種類，以及種類不同但共通的守護方式（不公開攻擊手法）。
惡意軟體的種類
名稱雖然很多，但你只需要大致知道有哪些種類就夠了。因為如後所述，守護方式是共通的。
病毒
寄生於正常檔案，被執行時就複製並擴散感染。無法單獨行動。
蠕蟲
能單獨自我複製，透過網路自動擴散。在疏於防護的網路中爆發性蔓延。
木馬
偽裝成有用的正常軟體來入侵，然後在背後進行不良動作。特徵是「你自己把它裝進來」。
勒索軟體
加密檔案並索要贖金。如今多半還伴隨竊取資料的雙重勒索（→專門文章）。
間諜軟體
不被察覺地潛伏，竊取按鍵輸入·認證資訊·瀏覽紀錄等。
殭屍程式 / 殭屍網路
遠端操控被感染的裝置，把大量裝置束成一群用於攻擊。命令從 C2 傳來（→C2）。
實際上，一個惡意軟體同時兼具多種性質也並不罕見（例如：以木馬的形式入侵，作為間諜軟體竊取資訊，最後投放勒索軟體）。正因如此，與其花時間去分類「這是什麼病毒？」，不如把預防·偵測·復原的防禦鞏固起來更為實用。
惡意軟體、病毒、勒索軟體與後門的關係
這些詞常被並列使用，但層級並不相同。惡意軟體是總稱，其餘三者是其中的種類或功能。
| 用語 | 意思 | 怎麼分辨 |
|---|---|---|
| 惡意軟體 | 不良軟體的總稱 | 包含下面三者 |
| 病毒 | 附著在其他檔案上擴散的惡意軟體 | 無法單獨執行；宿主檔案被執行時才擴散 |
| 勒索軟體 | 加密檔案並索要贖金的惡意軟體 | 會以勒索信主動現身 |
| 後門（英文） | 繞過認證、隱藏起來的再入侵通道 | 可能以惡意軟體植入，也可能以設定或帳號的形式建立 |
「防毒軟體」這個名稱是歷史遺留，實際的產品偵測的遠不只病毒。
主要感染途徑
惡意軟體並非憑空出現，而是經由幾乎固定的幾條途徑進來。這裡只呈現高層次的途徑（不公開具體手法）。
每一種途徑，都是「不小心開啟／放著不更新／不確認來源」這種人與維運的疏漏。接下來的防禦就能擋下大部分。
守護方式（種類不同，該做的事一樣）
不必逐一記住每種種類的個別對策。把對惡意軟體整體皆有效的三項防禦組合起來才是基本。
防止感染：更新·可疑檔案·MFA
勤加更新作業系統與軟體，不讓已知的漏洞放著不修補。不開啟沒有印象的附件·巨集·連結。用多因素驗證（MFA）守護主要帳號，即使認證資訊被竊也不會立刻被攻入（→ 如何選擇 MFA）。
放置偵測的一層：防毒軟體／EDR
用包含作業系統內建在內的防毒軟體攔下已知的威脅，若需要更高的防禦，就用 EDR 監控「行為」，連未知的也一併捕捉（→ EDR 是什麼）。不過偵測並非萬能，切勿只依賴這一項。
限制損害：最小權限
不要以系統管理員權限進行日常作業。把權限保持在必要的最小限度，萬一真的被執行，也能抑制受害的蔓延（一台·一個帳號的入侵不會波及整體）。
能夠復原：備份
最後的防禦是備份。尤其面對勒索軟體，離線／防竄改的副本再加上定期的復原演練，決定了能否復原（→ 備份與復原的基礎）。
傳統型防毒軟體（比對已知）
- 以比對已知惡意軟體的「指紋（特徵碼）」來偵測
- 輕便·輕量，對廣泛流通的威脅有效
- 容易漏掉未知·剛做出來的變種
- 常被誤解成「裝了就安心」
EDR（監控行為）
- 不看檔名，而以可疑的行為（異常的加密·對外通訊）偵測
- 能察覺未知的攻擊與「正常工具被濫用」
- 會留下紀錄，可用於感染後的調查·遏制
- 即便如此，仍無法取代預防（更新）與復原（備份）
本站的觀點：死記種類不是防禦戰略
攻擊者會不斷改變名稱與外觀。所以追逐「這個月的惡意軟體名稱」並不會讓防禦變強。對所有種類都有效的，是把預防·偵測·復原組合起來。本站對自己也套用同一原則：持續更新依賴套件來防止感染，機械化監控 CVE 來偵測，把組態保持在可重現的狀態以便復原。防範惡意軟體並非什麼特別的事，而是這些基礎的延伸。
實例：Emotet
在日本造成最大損害的惡意軟體家族之一是 Emotet。日本的 CERT 機構 JPCERT/CC 從 2019 年左右起多次發出警告；在一度沉寂之後，2021 年 11 月起又再度觀測到活動。
- 入侵方式
- 含巨集的 Word／Excel 附件、加密的 ZIP 檔、郵件內文中的連結。使用者啟用巨集或開啟連結時遭感染
- 感染之後
- 從裝置竊取郵件內容與聯絡人，再利用它們偽裝成真實的往來對象寄出更多郵件
- 擴散方式
- 受害者的往來對象與熟人，會收到看起來像真人回覆的郵件
- 檢查方式
- JPCERT/CC 公開了檢查工具 EmoCheck
Emotet 的教訓是：即使郵件看起來像熟人的回覆，基本功依然有效——不啟用附件中的巨集，對預期之外的附件用其他管道向寄件人確認。另一個例子是 Coincheck NEM 竊取事件，據報導寄給員工的郵件中的惡意軟體是入侵的第一步。
如何檢查自己的裝置
Windows：保護歷程記錄與掃描
打開「設定」→「Windows 安全性」→「病毒與威脅防護」。查看保護歷程記錄有無偵測紀錄，並從「掃描選項」執行完整掃描。若沒發現什麼但仍有疑慮，可在同一畫面執行 Microsoft Defender 離線掃描，在不啟動 Windows 的狀態下檢查電腦。
查看自動啟動項目與擴充功能
檢查工作管理員的「啟動應用程式」分頁與瀏覽器的擴充功能清單，看有沒有不是自己安裝的項目。若有，就停用並移除。
手機：App 與設定描述檔
Android 請執行 Google Play 安全防護的掃描，並移除來源不明的 App。iPhone 請到「設定」→「一般」→「VPN 與裝置管理」，確認有沒有不認得的描述檔。
也要檢查帳號
查看電子郵件、社群媒體與網路銀行的登入紀錄，並確認郵件的自動轉寄規則。即使惡意軟體已從裝置上清除，被竊的密碼仍然有效，所以請從另一台安全的裝置變更密碼。
「我裝了防毒軟體，所以沒事」並不成立
最常見的錯誤，就是完全依賴一個偵測軟體。偵測必定會漏掉一定的比例，一旦有東西漏過去，就沒有其他防護了。
有效的做法是組合多項防禦：用預防減少數量（不開啟·勤更新），用偵測（防毒軟體／EDR）捕捉剩下的，再用復原（備份）消除仍然漏掉的東西所造成的損害。不依賴任何單獨一層，正是惡意軟體防禦的出發點。
出處（一手資料）
- JPCERT/CC「マルウエア Emotet の感染再拡大に関する注意喚起」（日文）— jpcert.or.jp（感染途徑、EmoCheck）
- Microsoft Support, "Virus and threat protection in the Windows Security app" — support.microsoft.com（掃描與離線掃描）
接下來閱讀
- 術語：什麼是勒索軟體（受害最嚴重的種類·雙重勒索）· 什麼是 C2（命令與控制）（殭屍程式被操控的通訊）
- 術語：EDR 是什麼（憑行為偵測未知）· IOC（入侵指標）是什麼（感染的痕跡）
- 入門：備份與復原的基礎（事故後如何復原）· 資安最低限度檢查清單（預防·偵測·復原的基本對策）
- 案例：Coincheck NEM 外流事件（2018）（魚叉式郵件投遞的惡意軟體竊取了熱錢包私鑰，這是約 5.3 億美元損失的第一步）
- 跳出「你的電腦已中毒」視窗？技術支援詐騙的關閉方法，以及打了電話後該怎麼做