電腦病毒從理論概念到全球性網路武器，僅用了半個世紀。本文精選 20 個里程碑式病毒/蠕蟲/勒索軟體，按時間順序回顧其技術創新、傳播手法、破壞力與歷史意義，助你理解惡意代碼演變脈絡。
1. Creeper (1971) — 首個自我複製程式
- 作者：Bob Thomas (BBN Technologies)
- 平台：DEC PDP-10 / ARPANET
- 行為：網路間跳躍複製，顯示「I'm the creeper, catch me if you can!」，遇到另一個 Creeper 即刪除對方。
- 意義：證明自我複製程式可行，啟發後世病毒設計。
2. Elk Cloner (1982) — 首個野外傳播微電腦病毒
- 作者：Rich Skrenta (15 歲學生)
- 平台：Apple II (軟碟啟動區)
- 行為：感染軟碟 Boot Sector，每 50 次啟動顯示詩句「It will get on all your disks / It will infiltrate your chips」。
- 意義：首個在個人電腦大規模傳播的病毒，雖無破壞性但確立 Boot Sector 感染模式。
3. Brain (1986) — 首個 PC 病毒
- 作者：Basit & Amjad Farooq Alvi (巴基斯坦兄弟)
- 平台：IBM PC / MS-DOS (360KB 軟碟)
- 行為：感染軟碟 Boot Sector，標記卷標 `(c) Brain`，包含作者地址電話，無破壞payload。
- 意義：開啟 PC 病毒時代，引發首波殺毒軟體誕生 (McAfee VirusScan 1987)。
4. Morris Worm (1988) — 首個互聯網蠕蟲
- 作者：Robert Tappan Morris (Cornell 研究生)
- 傳播：利用 `finger`、`sendmail` debug 模式、`rsh/rexec` 弱口令、可信主機機制。
- 影響：感染約 6,000 台 UNIX 主機 (當時互聯網 10%)，導致系統負載過高癱瘓。
- 判決：首例依《電腦欺詐與濫用法》定罪，緩刑 3 年、罰款 1 萬美元、社區服務 400 小時。
5. Michelangelo (1991) — 首個引發大眾恐慌的邏輯炸彈
- 觸發條件：每年 3 月 6 日 (米開朗基羅生日) 覆寫硬碟關鍵扇區。
- 媒體大肆渲染「百萬電腦將毀滅」，實際感染極少，但催生企業殺毒預算常態化。
6. CIH / Chernobyl (1998) — 首個破壞硬體 BIOS 的病毒
- 作者：陳盈豪 (台灣大學生)
- 感染：PE 檔案 (Win95/98)，1999/4/26 觸發覆寫 BIOS + 硬碟 MBR，導致主板報廢。
- 影響：全球約 60 萬台電腦受害，韓國/中國大陸災情最重，直接推動 BIOS 寫保護跳線/鎖定成為標配。
7. Melissa (1999) — 首個大規模郵件蠕蟲
- 作者：David L. Smith
- 傳播：Word 宏病毒，Outlook 通訊錄前 50 位群發，主旨「Here is that document you asked for」。
- 影響：癱瘓大量企業郵件伺服器，Smith 判刑 20 個月、罰款 5,000 美元。
8. ILOVEYOU / Love Letter (2000) — 社工頂峰，損失百億美元
- 作者：Onel de Guzman (菲律賓)
- 傳播：VBS 腳本偽裝 `LOVE-LETTER-FOR-YOU.TXT.vbs`，Outlook 群發、IRC/Usenet 散播，覆寫圖片/音樂/文件。
- 影響：超過 5,000 萬台電腦感染，直接經濟損失估計 100-150 億美元。菲律賓當時無相關法律，最終釋放。
9. Code Red (2001) — 首個純記憶體駐留蠕蟲 (無檔案落地)
- 目標：Microsoft IIS 4.0/5.0 `ida.dll` 緩衝區溢位 (CVE-2001-0500)。
- 行為：僅在記憶體運行，重啟即清除；發動 DDoS 攻擊白宮網站 (白宮更換 IP 緩解)。
- 變種 Code Red II 在硬碟植入後門，掃描行為導致全球路由表擴大、網路擁塞。
10. Nimda (2001) — 混合傳播大師 (郵件+Web+共享+IIS漏洞)
- 9/18 釋出，一周內感染 220 萬伺服器/工作站。
- 多重傳播：郵件附件、IIS 目錄遍歷、網頁植入 JavaScript、網路共享、後門 (Code Red II 殘留)。
- 行政權限奪取、終止防毒進程、修改系統檔案，清理極度困難。
11. SQL Slammer / Sapphire (2003) — 376 字節癱瘓全球網路
- 目標：MS SQL Server 2000 Resolution Service UDP 1434 緩衝區溢位。
- 特點：單一 UDP 封包 (376 bytes) 即可感染，無檔案、無磁碟寫入、純記憶體。
- 傳播速度：每 8.5 秒感染數量翻倍，10 分鐘內感染 7.5 萬台主機，導致韓國/葡萄牙/美國 911 系統/銀行 ATM/航班癱瘓。
12. Blaster / Lovesan (2003) — 遠程 RPC 漏洞大規模利用
- 目標：Windows DCOM RPC (CVE-2003-0352)，TCP 135/4444。
- 行為：掃描隨機 IP、下載 `msblast.exe`、發動 DDoS 攻擊 `windowsupdate.com`、重啟倒數提示「I just want to say LOVE YOU SAN!!」。
- 微軟首次大規模推送「關鍵更新」自動修補，推動自動更新普及。
13. Sasser (2004) — LSASS 漏洞讓未修補 XP/2000 不斷重啟
- 作者：Sven Jaschan (德國 18 歲學生)
- 目標：Windows LSASS (CVE-2003-0533)，TCP 445/5554/9996。
- 症狀：系統不斷彈出「系統將在 60 秒後關機」，醫院/鐵路/銀行/衛星電視大面積癱瘓。
- 微軟懸賞 25 萬美元緝兇，Jaschan 因未成年被判緩刑。
14. MyDoom (2004) — 歷史傳播最快郵件蠕蟲
- 峰值：全球郵件流量 1/10 為 MyDoom，開啟後門 TCP 3127-3198、發動 DDoS 攻擊 SCO Group/微軟。
- 社工誘餌：「Mail Transaction Failed」「Test」等主旨，偽裝郵件退信通知。
15. Storm Worm (2007) — 僵屍網路商業化運營鼻祖
- 傳播：社工郵件 (電子郵卡、風暴新聞、聖誕卡) 下載 Trojan.Peacomm。
- 架構：P2P 僵屍網路 (Overnet/Kademlia)，無中央 C2，抗打擊能力強。
- 運營：出租 DDoS/垃圾郵件/駭客服務，開啟惡意代碼即服務 (MaaS) 時代。
16. Conficker / Downadup (2008) — 域名生成算法 (DGA) 讓封鎖失效
- 目標：MS08-067 (CVE-2008-4250) + 弱密碼共享 + AutoRun。
- 創新：每日按算法生成 50,000+ 隨機域名 (DGA)，僅需註冊極少數即可下發指令。
- 高峰感染 900-1,500 萬台，形成史上最大僵屍網路，至今仍有殘留感染。
17. Stuxnet (2010) — 首個國家級網路武器，物理破壞離心機
- 目標：伊朗納坦茲核設施西門子 PLC (S7-300/400) 控制鈾濃縮離心機。
- 技術：4 個 0-day (LNK、列印後門、任務調度、CPL)、盜用 Realtek/JMicron 數位簽章、PLC 代碼注入改變轉速導致離心機物理損毀。
- 意義：網路攻擊首次造成實體設備毀損，改變國家安全戰略定義。
18. Flame / Skywiper (2012) — 模組化間諜平台，竊取音訊/螢幕/鍵盤/藍牙
- 體積 20 MB+，含 Lua 腳本引擎、SQLite 資料庫、模組化插件架構。
- 功能：麥克風錄音、螢幕截圖、鍵盤記錄、藍牙掃描附近裝置、WiFi 中間人、偽造 Microsoft 簽章 (MD5 碰撞) 透過 Windows Update 傳播。
- 疑似 Stuxnet 同源國家級項目，針對中東特定目標。
19. WannaCry (2017) — 永恆之藍 (EternalBlue) 引爆全球勒索潮
- 漏洞：NSA 武器庫洩露 `EternalBlue` (MS17-010, CVE-2017-0144) SMBv1 遠程代碼執行。
- 傳播：無需用戶互動，掃描 TCP 445 內網/公網傳播，加密檔案索要比特幣。
- 影響：150 國 20 余萬台受害，英國 NHS 醫療癱瘓、俄羅斯內務部/德國鐵路/中國大學/石油系統中招。
- 緩解：Marcus Hutchins 發現 Kill Switch 域名註冊使傳播停止，微軟破例為 XP/2003 發布補丁。
20. NotPetya / Petya.A (2017) — 偽裝勒索實為擦除器，針對烏克蘭供應鏈
- 傳播：MeDoc 會計軟體供應鏈投毒 + EternalBlue + WMIC/PsExec 橫向移動。
- 本質：MBR 加密後無法解密 (無金鑰)，純破壞數據，非勒索獲利。
- 損失：Maersk、Merck、FedEx/TNT、Mondelēz 等跨國企業損失超 100 億美元，被白宮定性為「俄羅斯軍情報局 (GRU) 行動」。
演變趨勢總結
| 時代 | 代表特徵 | 防禦重點 |
|---|
| 1980s-90s | Boot Sector/檔案感染、單機/軟碟傳播 | 掃描引擎、啟動區保護、寫保護軟碟 |
| 1999-2005 | 郵件/網路蠕蟲、大規模自動化傳播 | 郵件網關掃描、自動修補、防火牆封鎖端口 |
| 2006-2015 | 僵屍網路商業化、Rootkit/隱匿、DGA、0-day 利用 | 行為分析、沙箱、威脅情報、應用程式白名單 |
| 2016-至今 | 勒索即服務、供應鏈投毒、雙重勒索、針對性 APT、AI 生成變種 | 零信任、EDR/XDR、備份不可變性、補丁自動化、供應鏈驗證 |
病毒史就是攻防博弈史。理解歷史，才能在下一波未知威脅來襲時，憑藉原理判斷而非單純依賴特徵庫。建議收藏本文，作為威脅情報參考基線。
