黑客攻击软件

简介

「黑客软件」一般指供黑客借助网络侵入远端计算机设备、操控对方系统并窃取或损毁信息的程序。在专业术语中，与之对应的「攻击程序」指以渗透系统或规避其安全策略为目标、用来获取或改写信息乃至破坏目标系统功能的程序，其定义收入《计算机科学技术名词》第三版。

这类程序的常见类型包括计算机病毒、蠕虫、特洛伊木马、密码破解工具、漏洞利用工具包以及远程访问木马等。其目标多集中在窃取用户凭证、银行账户与商业机密等敏感数据，篡改数据内容，或借助拒绝服务攻击使目标服务无法正常响应。

由于这类软件会造成直接经济损失与隐私泄露，其危害受到各国关注。美国财政部公布的数据显示，2021年上半年美国与勒索软件相关的付款额达到5.9亿美元，超过此前十年付款的总和^[2]。

沿革

现代恶意程序的理论渊源可追溯到1966年约翰·冯·诺依曼提出的自我复制自动机理论。1971年出现首个蠕虫程序Creeper，1982年苹果计算机上出现已知最早的病毒Elk Cloner，1986年的Brain病毒被视为IBM个人计算机上的首个病毒，1988年的Morris蠕虫发动了首次大范围互联网攻击。

1990年代，随着Windows在个人计算机上普及，攻击者开始利用办公软件自带的宏语言编写代码；1999年出现经电子邮件传播的Melissa蠕虫，2000年的ILOVEYOU病毒大量使用社会工程与网络钓鱼手法，2004年的Mydoom蠕虫造成约350亿美元损失，2007年又出现木马Zeus。2005年，网络安全专家David Jevans提出「犯罪软件」一词，用以概括网络犯罪分子使用的各类数字工具^[3]。

中国较早受到关注的远程控制类黑客软件是2001年出现的灰鸽子，它自诞生起就被反病毒厂商判定为高危后门程序。2007年2月，中国约有25.8万台计算机感染该程序；同年，其开发工作室宣布停止该软件的开发、更新与注册^[4]。灰鸽子自身不具备复制传播能力，开发者称其用途为网络管理，其法律定性一度存在争议^[5]。

2013年前后，勒索软件成为危害突出的恶意程序类型，早期实例包括CryptoLocker；2014年的Emotet木马是具多态特征的典型样本；2016年僵尸网络Mirai开始攻击物联网设备；2017年接连出现Petya、NotPetya与WannaCry等勒索软件事件。

2009年，中国通过的刑法修正案（七）在刑法第285条中增设两款，将非法获取数据、非法控制系统，以及提供专门用于这类侵入、控制活动的程序与工具的行为定为犯罪^[1]。2011年，最高人民法院、最高人民检察院出台司法解释，列举了可被认定为专供侵入、非法控制计算机信息系统之用的程序与工具的具体情形^[6]。2021年10月20日，美国商务部发布出口管制新规，限制向中国、俄罗斯等国出售可能被用于入侵与监控的黑客工具，相关规定于2022年1月19日生效^[7]。

特点

隐蔽与欺骗是这类软件的显著特征。它们普遍采用伪装、混淆与隐藏技术规避检测，并常借助零日漏洞或开源软件供应链渗透目标系统。以灰鸽子为例，其通过特殊手段隐藏自身进程与文件，Windows任务管理器难以查看，普通用户不易察觉，清除难度较大。

在恶意代码分类体系中，黑客攻击软件通常单独列为一类，与感染式病毒、蠕虫、木马和灰色软件等并列^[8]。其区分依据之一是运行位置：这类程序运行在攻击者一侧或其已掌控的终端上，对自身所处环境一般不造成直接影响，因此被视为危害主要来自关联场景的类别^[9]。反病毒厂商常将其标注为「恶意工具」，与多数恶意软件不同，它们被存放或运行时通常不会自动发起破坏动作，其功能多被用于生成病毒、蠕虫、木马或对远端服务器发起入侵^[10]。

此类工具具有明显的双用途性质。端口扫描器是最为常见的一类，既可被用来查找防火墙等防护组件中的薄弱环节，也被网络管理员用于检验所辖网络的安全性^[11]。

在传播与流通方面，这类软件常以捆绑方式扩散。2007年灰鸽子疫情期间，其主要依附破解工具、外挂程序等非正规软件传播。围绕其使用还形成了制作、贩卖与培训相互衔接的黑色产业链，被控制的计算机被称为「肉鸡」并被公开叫卖。

参见

• 恶意软件 —— 黑客攻击软件通常被视为恶意软件的一个子集，两者概念高度重叠。

• 特洛伊木马 —— 木马是黑客攻击软件中最常见的形态之一，主要用于远程控制与窃密。

• 计算机病毒 —— 与蠕虫、木马同为恶意代码的主要类别，常被公众统称为病毒。

• 灰鸽子 —— 中国早期影响范围较大的远程控制类黑客软件。

• 拒绝服务攻击 —— 攻击程序常被用于此类攻击，以瘫痪目标服务的正常响应。

• 中华人民共和国刑法 —— 该法第285条对提供侵入、非法控制计算机信息系统程序、工具的行为设有处罚规定。