木马病毒是指隐藏在正常程序中的一段具有特殊功能的恶意代码，是具备破坏和删除文件、发送密码、记录键盘和攻击Dos等特殊功能的后门程序。木马病毒其实是计算机黑客用于远程控制计算机的程序。
木马病毒是指隐藏在正常程序中的一段具有特殊功能的恶意代码，是具备破坏和删除文件、发送密码、记录键盘和攻击 Dos 等特殊功能的后门程序。木马病毒其实是计算机黑客用于远程控制计算机的程序，将控制程序寄生于被控制的计算机系统中，里应外合，对被感染木马病毒的计算机实施操作。一般的木马病毒程序主要是寻找计算机后门，伺机窃取被控计算机中的密码和重要文件等。可以对被控计算机实施监控、资料修改等非法操作。木马病毒具有很强的隐蔽性，可以根据黑客意图突然发起攻击。
含义
计算机木马病毒是指隐藏在正常程序中的一段具有特殊功能的恶意代码，是具备破坏和删除文件、发送密码、记录键盘和攻击 Dos 等特殊功能的后门程序。
木马程序表面上是无害的，甚至对没有警戒的用户还颇有吸引力，它们经常隐藏在游戏或图形软件中，但它们却隐藏着恶意。这些表面上看似友善的程序运行后，就会进行一些非法的行动，如删除文件或对硬盘格式化。
完整的木马程序一般由两部分组成：一个是服务器端．一个是控制器端。“中了木马”就是指安装了木马的服务器端程序，若你的电脑被安装了服务器端程序，则拥有相应客户端的人就可以通过网络控制你的电脑。为所欲为。这时你电脑上的各种文件、程序，以及在你电脑上使用的账号、密码无安全可言了。
发展历程
木马程序技术发展可以说非常迅速。主要是有些年轻人出于好奇，或是急于显示自己实力，不断改进木马程序的编写。至今木马程序已经经历了六代的改进：
第一代，是最原始的木马程序。主要是简单的密码窃取，通过电子邮件发送信息等，具备了木马最基本的功能。
第二代，在技术上有了很大的进步，冰河是中国木马的典型代表之一。
第三代，主要改进在数据传递技术方面，出现了 ICMP 等类型的木马，利用畸形报文传递数据，增加了杀毒软件查杀识别的难度。
第四代， 在进程隐藏方面有了很大改动，采用了内核插入式的嵌入方式，利用远程插入线程技术，嵌入 DLL 线程。或者挂接 PSAPI，实现木马程序的隐藏，甚至在 Windows NT/2000 下，都达到了良好的隐藏效果。灰鸽子和蜜蜂大盗是比较出名的 DLL 木马。
第五代，驱动级木马。驱动级木马多数都使用了大量的 Rootkit 技术来达到在深度隐藏的效果，并深入到内核空间的，感染后针对杀毒软件和网络防火墙进行攻击，可将系统 SSDT 初始化，导致杀毒防火墙失去效应。有的驱动级木马可驻留 BIOS，并且很难查杀。
第六代，随着身份认证 UsbKey 和杀毒软件主动防御的兴起，黏虫技术类型和特殊反显技术类型木马逐渐开始系统化。前者主要以盗取和篡改用户敏感信息为主，后者以动态口令和硬证书攻击为主。PassCopy 和暗黑蜘蛛侠是这类木马的代表。
原理
木马病毒通常是基于计算机网络的，是基于客户端和服务端的通信、监控程序。客户端的程序用于黑客远程控制，可以发出控制命令，接收服务端传来的信息。服务端程序运行在被控计算机上，一般隐藏在被控计算机中，可以接收客户端发来的命令并执行，将客户端需要的信息发回，也就是常说的木马程序。
木马病毒可以发作的必要条件是客户端和服务端必须建立起网络通信，这种通信是基于 IP 地址和端口号的。藏匿在服务端的木马程序一旦被触发执行，就会不断将通信的 IP 地址和端口号发给客户端。客户端利用服务端木马程序通信的 IP 地址和端口号，在客户端和服务端建立起一个通信链路。客户端的黑客便可以利用这条通信链路来控制服务端的计算机。
运行在服务端的木马程序首先隐匿自己的行踪，伪装成合法的通信程序，然后采用修改系统注册表的方法设置触发条件，保证自己可以被执行，并且可以不断监视注册表中的相关内容。发现自己的注册表被删除或被修改，可以自动修复。
种类
一、网游木马
随着网络在线游戏的普及和升温，中国拥有规模庞大的网游玩家。网络游戏中的金钱、装备等虚拟财富与现实财富之间的界限越来越模糊。与此同时，以盗取网游帐号密码为目的的木马病毒也随之发展泛滥起来。
网络游戏木马通常采用记录用户键盘输入、Hook 游戏进程 API 函数等方法获取用户的密码和帐号。窃取到的信息一般通过发送电子邮件或向远程脚本程序提交的方式发送给木马作者。网络游戏木马的种类和数量，在国产木马病毒中都首屈一指。流行的网络游戏无一不受网游木马的威胁。一款新游戏正式发布后，往往在一到两个星期内，就会有相应的木马程序被制作出来。大量的木马生成器和黑客网站的公开销售也是网游木马泛滥的原因之一。
二、网银木马
网银木马是针对网上交易系统编写的木马病毒，其目的是盗取用户的卡号、密码，甚至安全证书。此类木马种类数量虽然比不上网游木马，但它的危害更加直接，受害用户的损失更加惨重。
网银木马通常针对性较强，木马作者可能首先对某银行的网上交易系统进行仔细分析，然后针对安全薄弱环节编写病毒程序。2013 年，安全软件电脑管家截获网银木马最新变种“弼马温”，弼马温病毒能够毫无痕迹的修改支付界面，使用户根本无法察觉。通过不良网站提供假 QVOD 下载地址进行广泛传播，当用户下载这一挂马播放器文件安装后就会中木马，该病毒运行后即开始监视用户网络交易，屏蔽余额支付和快捷支付，强制用户使用网银，并借机篡改订单，盗取财产。
随着中国网上交易的普及，受到外来网银木马威胁的用户也在不断增加。
三、下载类
这种木马程序的体积一般很小，其功能是从网络上下载其他病毒程序或安装广告软件。由于体积很小，下载类木马更容易传播，传播速度也更快。通常功能强大、体积也很大的后门类病毒，如“灰鸽子”、“黑洞”等，传播时都单独编写一个小巧的下载型木马，用户中毒后会把后门主程序下载到本机运行。
四、代理类
用户感染代理类木马后，会在本机开启 HTTP、SOCKS 等代理服务功能。黑客把受感染计算机作为跳板，以被感染用户的身份进行黑客活动，达到隐藏自己的目的。
五、FTP 木马
FTP 型木马打开被控制计算机的 21 号端口(FTP 所使用的默认端口)，使每一个人都可以用一个 FTP 客户端程序来不用密码连接到受控制端计算机，并且可以进行最高权限的上传和下载，窃取受害者的机密文件。新 FTP 木马还加上了密码功能，这样，只有攻击者本人才知道正确的密码，从而进入对方计算机。
六、通讯软件类
常见的即时通讯类木马一般有 3 种：
（1）发送消息型
通过即时通讯软件自动发送含有恶意网址的消息，目的在于让收到消息的用户点击网址中毒，用户中毒后又会向更多好友发送病毒消息。此类病毒常用技术是搜索聊天窗口，进而控制该窗口自动发送文本内容。发送消息型木马常常充当网游木马的广告，如“武汉男生 2005”木马，可以通过 MSN、QQ、UC 等多种聊天软件发送带毒网址，其主要功能是盗取传奇游戏的帐号和密码
（2）盗号型
主要目标在于即时通讯软件的登录帐号和密码。工作原理和网游木马类似。病毒作者盗得他人帐号后，可能偷窥聊天记录等隐私内容，在各种通讯软件内向好友发送不良信息、广告推销等语句，或将帐号卖掉赚取利润。
（3）传播自身型
2005 年初，“MSN 性感鸡”等通过 MSN 传播的蠕虫泛滥了一阵之后，MSN 推出新版本，禁止用户传送可执行文件。2005 年上半年，“QQ 龟”和“QQ 爱虫”这两个国产病毒通过 QQ 聊天软件发送自身进行传播，感染用户数量极大，在江民公司统计的 2005 年上半年十大病毒排行榜上分列第一和第四名。从技术角度分析，发送文件类的 QQ 蠕虫是以前发送消息类 QQ 木马的进化，采用的基本技术都是搜寻到聊天窗口后，对聊天窗口进行控制，来达到发送文件或消息的目的。只不过发送文件的操作比发送消息复杂很多。
七、网页点击类
网页点击类木马会恶意模拟用户点击广告等动作，在短时间内可以产生数以万计的点击量。病毒作者的编写目的一般是为了赚取高额的广告推广费用。此类病毒的技术简单，一般只是向服务器发送 HTTP GET 请求。
特征
(1)隐蔽性。
木马病毒可以长期存在的主要因素是它可以隐匿自己，将自己伪装成合法应用程序，使得用户难以识别，这是木马病毒的首要也是重要的特征。与其它病毒一样，这种隐蔽的期限往往是比较长的。经常采用的方法是寄生在合法程序之中、修改为合法程序名或图标、不产生任何图标、不在进程中显示出来或伪装成系统进程和与其它合法文件关联起来等。
(2)欺骗性。
木马病毒隐蔽的主要手段是欺骗．经常使用伪装的手段将自己合法化。例如，使用合法的文件类型后缀名“dll、sys，ini’’等；使用已有的合法系统文件名，然后保存在其它文件目录中；使用容易混淆的字符进行命名，例如字母“o”与数字“0”，数字“1”与字母“i”。
(3)顽固性。
木马病毒为了保障自己可以不断蔓延，往往像毒瘤一样驻留在被感染的计算机中，有多份备份文件存在，一旦主文件被删除，便可以马上恢复。尤其是采用文件的关联技术，只要被关联的程序被执行，木马病毒便被执行，并生产新的木马程序,甚至变种。顽固的木马病毒给木马清除带来巨大的困难。
(4)危害性。
木马病毒的危害性是毋庸置疑的。只要计算机被木马病毒感染，别有用心的黑客便可以任意操作计算机，就像在本地使用计算机一样，对被控计算机的破坏可想而知。黑客可以恣意妄为，可以盗取系统的重要资源，例如：系统密码、股票交易信息．机要数据等。
传播方式
木马病毒的传播方式比较多，主要有：
（1）利用下载进行传播，在下载的过程中进入程序，当下载完毕打开文件就将病毒植入到电脑中；
（2）利用系统漏洞进行传播，当计算机存在漏洞，就成为木马病毒攻击的对象；
（3）利用邮件进行传播，很多陌生邮件里面就掺杂了病毒种子，一旦邮件被打开，病毒就被激活；
（4）利用远程连接进行传播；
（5）利用网页进行传播，在浏览网页时会经常出现很多跳出来的页面，这种页面就是病毒驻扎的地方；
（6）利用蠕虫病毒进行传播等。
伪装方式
鉴于木马病毒的危害性，很多人对木马知识还是有一定了解的，这对木马的传播起了一定的抑制作用，这是木马设计者所不愿见到的，因此他们开发了多种功能来伪装木马，以达到降低用户警觉，欺骗用户的目的。
1、修改图标
当你在 E-MAIL 的附件中看到这个图标时，是否会认为这是个文本文件呢?但是我不得不告诉你,这也有可能是个木马程序，已经有木马可以将木马服务端程序的图标改成 HTML,TXT,ZIP 等各种文件的图标，这有相当大的迷惑性，但是提供这种功能的木马还不多见，并且这种伪装也不是无懈可击的，所以不必整天提心吊胆，疑神疑鬼的。
2、捆绑文件
这种伪装手段是将木马捆绑到一个安装程序上，当安装程序运行时，木马在用户毫无察觉的情况下，偷偷的进入了系统。至于被捆绑的文件一般是可执行文件（即 EXE，COM 一类的文件）。
3、出错显示
有一定木马知识的人都知道，如果打开一个文件，没有任何反应，这很可能就是个木马程序，木马的设计者也意识到了这个缺陷，所以已经有木马提供了一个叫做出错显示的功能。当服务端用户打开木马程序时，会弹出一个错误提示框（这当然是假的），错误内容可自由定义，大多会定制成一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以为真时，木马却悄悄侵入了系统。
4、定制端口
很多老式的木马端口都是固定的，这给判断是否感染了木马带来了方便，只要查一下特定的端口就知道感染了什么木马，所以很多新式的木马都加入了定制端口的功能，控制端用户可以在 1024-65535 之间任选一个端口作为木马端口（一般不选 1024 以下的端口），这样就给判断所感染木马类型带来了麻烦。
5、自我销毁
这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马会将自己拷贝到 WINDOWS 的系统文件夹中（C:WINDOWS 或 C:WINDOWSSYSTEM 目录下），一般来说原木马文件和系统文件夹中的木马文件的大小是一样的（捆绑文件的木马除外），那么中了木马的朋友只要在收到的信件和下载的软件中找到原木马文件，然后根据原木马的大小去系统文件夹找相同大小的文件，判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木马后，原木马文件将自动销毁，这样服务端用户就很难找到木马的来源，在没有查杀木马的工具帮助下，就很难删除木马了。
6、木马更名
安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章，按图索骥在系统文件夹查找特定的文件，就可以断定中了什么木马。所以有很多木马都允许控制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。
危害
木马病毒对计算机的直接破坏方式是改写磁盘，对计算机数据库进行破坏，给用户带来不便。当木马破坏程序后，使得程序无法运行，给计算机的整体运行带来严重的影响。另外一些木马可以通过磁盘的引导区进行，病毒具有强烈的复制功能，把用户程序传递给外部链接者。还可以更改磁盘引导区，造成数据形成通道破坏。病毒也通过大量复制抢占系统资源，对系统运行环境进行干扰，影响计算机系统运行速度。
随着互联网事业的发展，木马看中了电子商务，在一些网络购物上挂一些木马程序，当用户点击时，很容易进入用户系统，当用户使用网络银行时。通过网上窃取银行的密码，之后盗取用户财务，给计算机用户造成巨大的经济损失。在一些特殊的领域，木马被用做攻击的手段，如政治、军事、金融、交通等众多领域，成为一个没有硝烟的战场，利用木马侵入对方，获取相关信息或者进行破坏。
