电脑病毒：感染迹象与安全恢复

电脑病毒是一种恶意代码，它会附着在其他文件或程序上，并在宿主运行时传播。并非所有恶意软件都是病毒：蠕虫、木马和勒索软件的传播或运作方式可能各不相同。在决定如何应对可疑行为时，这种区别很重要。

感染是如何发生的

病毒需要某种途径来执行和复制自身，例如被感染的程序、不安全的文档活动内容或其他可执行载体。现代攻击还可能利用网络钓鱼、未修补的漏洞和伪造的安装程序。仅仅浏览一个网页并不能证明设备已被感染；必须是漏洞利用真正成功，或者有害内容确实运行了才算。

声称十万火急的附件、突如其来的安装程序，或要求您关闭安全软件的请求，都值得仔细审视。请从可信来源下载程序，通过厂商的官方渠道核实更新，不要打开不请自来的含活动内容的文档。没有哪一个习惯能保证万无一失，但多层防护可以降低风险。

迹象与可靠的检查方法

出现陌生的进程、安全设置被改动、文件被加密或安全软件发出告警，都有理由展开调查。不过，每一种迹象也可能另有无害的原因，所以不要仅凭一个症状就断定是恶意软件。请先更新操作系统和安全软件的病毒库，再用信誉良好的已安装工具进行扫描。

如果可疑程序可能窃取凭据，就不要在这台设备上输入密码。在可行的情况下，断开它与敏感账户或网络的连接，但也要考虑隔离是否会中断关键服务。如果所在组织需要进行事件分析，请保留有用的证据。

恢复与预防

按照安全工具的指引操作，并核实它的检测结果。如果设备遭到严重入侵，从已知干净的备份恢复或重装系统，可能比相信一次不彻底的清理更安全。请从另一台可信设备修改受影响的密码，并在可用时启用多因素认证。检查账户活动，注销可疑的会话。

及时更新软件和浏览器，做好经过恢复测试的备份，并使用仅具备必要权限的账户。防火墙可以限制部分流量，但不能替代系统更新，也不能代替您对文件的判断。如果涉及工作设备，请在删除证据或重置系统之前先联系负责的管理员。

留意重启后是否仍有异常驻留、是否出现了陌生的浏览器扩展，以及账户是否有未经授权的更改。这些观察结果有助于指导调查，但如果没有更多证据，其中任何一项都不足以断定是哪一种具体的恶意软件家族。

网络钓鱼与恶意代码是两种不同的威胁

用户可能在设备并未感染的情况下，就在虚假页面上丢失了凭据；而恶意软件也可能在没有任何可见登录页面的情况下运作。处理安全事件时，设备和重要账户都要检查；关于具有欺骗性的域名，请参阅 Punycode 指南。