2023年夏天，网络我帮一个做外贸的恶意朋友清理电脑。桌面上多了一个叫“报价单_final.pdf.exe”的代码文件。他双击过，通过以为只是什植打开一份报价单。结果三天后，网络公司邮箱开始向所有客户发送带毒附件。恶意这个案例里，代码恶意代码的通过植入路径清晰得可怕：一个伪装成文档的可执行文件，利用了Windows默认隐藏扩展名的什植设定。

恶意代码想进你的网络设备，第一关永远是恶意“让你主动点下去”。钓鱼邮件至今仍是代码最高效的通道。攻击者会研究目标公司的通过邮件签名、常用话术，什植甚至模仿老板的标点习惯。我见过一封伪造的会议邀请，附件是带宏病毒的Word文档。打开后弹出一句“请启用宏以查看完整议程”——就这一句话，很多人会点“启用内容”。宏病毒在Office里活了二十多年，现在依然好使，因为人性没变。

漏洞利用是另一条路，不需要你点任何东西。2017年的“永恒之蓝”利用Windows SMB漏洞，只要联网就能中招。当时我所在的园区有台打印机没打补丁，成了跳板，整个内网被加密。这种植入方式更隐蔽，攻击者扫描IP段，找到开放445端口的机器，一发入魂。现在很多路由器、摄像头、智能音箱都跑着老旧的Linux内核，默认密码还是admin/admin。Mirai僵尸网络就是靠这些设备堆出T级流量。你家里的智能灯泡，可能正在帮别人打DDoS。

供应链投毒更让人防不胜防。去年某npm包被曝出恶意代码，它不偷数据，只做一件事：检测到用户在中国大陆，就删除项目里的node_modules目录。这种“精准打击”来自一个开源贡献者的个人恩怨。更早的XcodeGhost事件，苹果开发者从第三方渠道下载了被篡改的Xcode，编译出的App全部带后门。你从官方商店下载的App，可能从开发工具链那一环就已经脏了。

物理接触虽然老派，但管用。我见过把恶意USB丢在目标公司停车场，标签写着“薪资调整表”。有人捡起来插上电脑，键盘记录器就装好了。还有更狠的：直接替换掉键盘里的固件，硬件层面做手脚，杀毒软件根本查不出来。2014年那批带毒U盘，就是通过物流环节混入某单位的采购订单里。

网页挂马现在没那么猖獗了，但没绝迹。恶意广告链是个典型。你访问一个正规新闻网站，页面加载了广告联盟的脚本，其中一个广告位被黑，跳转到漏洞利用工具包。整个过程你只看到页面卡了一下，后台已经在下载payload。我测试过一台没打补丁的Windows 7虚拟机，访问某个被黑的摄影论坛，15秒后桌面多了个“svchost.exe”在联网。

即时通讯工具也是重灾区。Telegram、WhatsApp上冒充熟人发文件，文件名是“聚会照片.zip”。解压后是个LNK文件，指向PowerShell命令，从远程服务器拉木马。这种手法在针对中东记者的攻击里反复出现。国内微信里也有，通常是“公司通讯录.rar”，解压密码在文件名里写着——为了绕过杀毒软件的压缩包扫描。

植入方式在进化，但核心逻辑没变：要么骗你点，要么利用你没修的漏洞，要么从你信任的渠道下手。我自己的习惯是关掉Windows的“隐藏已知文件扩展名”，邮件附件先存到沙箱里跑一遍，路由器固件每季度检查更新。这些操作不酷，但能挡住八成以上的低级攻击。

(责任编辑：百科)