蠕虫病毒是一类可以独立自我复制，不需要依附宿主文件就能够在网络当中自主传播的恶意程序，它和传统计算机病毒最大差别就是传统病毒必须寄生在 exe 文档这类宿主文件里面，运行宿主文件才会激活，而蠕虫病毒本身就是独立程序，依靠系统漏洞，网络共享，邮件，U 盘等通道自动扩散，不需要用户手动点击运行。蠕虫病毒核心目标一般是快速感染大量设备，占用网络带宽，耗尽系统资源，部分蠕虫还会附带破坏数据，窃取信息，留下后门，让攻击者远程控制中毒主机。早期蠕虫爆发经常造成大面积局域网瘫痪，比如局域网内一台电脑中招，短时间内整网所有电脑全部被感染，网络卡顿甚至完全断网，现在蠕虫依然活跃，会针对操作系统未修补漏洞，弱口令远程服务进行传播，企业内网是蠕虫病毒重点攻击目标。

蠕虫病毒核心特点

1 独立运行，不需要寄生宿主文件，这是和普通病毒最关键区分点

2 自动传播，主动扫描网络寻找可入侵目标，不需要用户操作

3 自我复制，成功入侵一台设备之后，会继续生成副本扫描下一台主机

4 资源消耗强，大量副本同时运行，占用 CPU 内存，挤占网络带宽

5 跨平台能力，早期主要针对 Windows，现在也有针对 Linux 服务器的蠕虫

蠕虫病毒常见传播途径清单

操作系统高危漏洞，比如远程代码执行漏洞，攻击者利用漏洞直接植入蠕虫

局域网共享文件夹，开启空口令共享，蠕虫自动访问共享写入自身副本

电子邮件，伪装成正常附件，打开附件之后蠕虫自动向外发送邮件扩散

移动存储介质，U 盘移动硬盘，插入电脑之后自动运行机制触发蠕虫

远程服务弱密码，远程桌面，数据库服务账号密码简单，暴力破解之后植入蠕虫

即时通讯软件，通过聊天窗口自动发送带蠕虫的链接或者文件

蠕虫病毒和传统病毒木马对比表格

感染之后典型表现

网络速度明显变慢，局域网整体拥堵，路由器交换机负载升高

CPU 内存占用异常偏高，设备频繁卡顿

后台出现陌生进程，自动向外大量发送数据包

共享文件夹里面出现陌生可疑程序文件

远程桌面数据库服务频繁出现异常登录日志

部分蠕虫会加密文件或者删除重要文档

检测与处置操作步骤

第一步 隔离中毒主机，立刻断开网线或者关闭 WiFi，防止蠕虫继续在局域网扩散

第二步 使用安全软件全盘查杀，更新病毒库之后执行全盘扫描，清除蠕虫主体

第三步 修补系统漏洞，安装对应安全补丁，关闭不必要的共享，修改远程服务弱口令

第四步 检查后台进程，任务管理器结束可疑进程，删除蠕虫生成的自启动项

第五步 恢复被破坏的数据，如果蠕虫造成文件损坏加密，使用备份数据恢复

第六步 全网排查，对整个局域网其他设备做扫描，确认有没有其他潜伏蠕虫

预防措施

及时安装操作系统安全更新，修复高危漏洞

关闭不必要的网络共享，远程桌面设置强密码，开启登录限制

不打开陌生邮件附件，不随意运行来源不明程序

U 盘接入电脑前先查杀，关闭 U 盘自动播放功能

企业部署防火墙入侵检测系统，监控异常对外扫描流量

定期备份重要数据

【常见问题】

问题 1 蠕虫病毒必须要用户点击文件才会感染吗

回答 1 蠕虫病毒很多时候不需要用户手动点击，蠕虫病毒可以利用系统漏洞主动入侵，自动完成复制传播，这点也是蠕虫病毒和普通文件病毒很重要的区别。

问题 2 蠕虫病毒只会攻击电脑吗

回答 1 蠕虫病毒并不是只攻击电脑，现在蠕虫病毒也可以攻击服务器，工业设备，物联网设备，只要存在漏洞和网络通道，蠕虫病毒就可以尝试入侵扩散。

问题 3 蠕虫病毒和木马是同一种东西吗

回答 1 蠕虫病毒和木马不是同一种恶意程序，蠕虫病毒重点是自动大范围传播消耗网络资源，木马核心目的是隐蔽窃取信息和远程控制，部分蠕虫病毒会捆绑木马后门，但是本质定义不一样。

【免责申明】

本文属于网络安全科普内容，相关技术原理仅用于学习防护，严禁利用蠕虫病毒相关技术制作传播恶意程序，相关处置方案为通用思路，企业大规模蠕虫爆发建议联系专业网络安全应急团队处理。