《下列不属于网络蠕虫的下列恶意代码是》——这道题如果出现在考卷上，八成会让人纠结一阵子。不属但先别急着背答案，于网咱们从实际攻击事件里找找感觉。络蠕

2017年5月，恶意WannaCry勒索软件横扫全球150多个国家。代码医院停诊、下列工厂停产，不属连英国国民健康服务体系的于网电脑都蓝屏了。很多人第一反应是络蠕“这蠕虫真猛”，但严格来说，恶意WannaCry的代码传播模块用的是“永恒之蓝”漏洞利用工具，它自我复制、下列主动扫描445端口，不属确实符合蠕虫定义。于网可它还有个“兄弟”——NotPetya，表面看着像勒索软件，实际是数据破坏工具，伪装成勒索但根本不给你恢复机会。这俩都算蠕虫变种，但你要是把普通勒索软件，比如Locky，也归进蠕虫类，那就错了。Locky靠钓鱼邮件附件传播，用户不点开就动不了，它不会自己满网爬。

蠕虫的核心特征是自主传播，不需要宿主文件，不靠人为操作触发。1988年莫里斯蠕虫是教科书案例，它利用Unix系统漏洞和弱口令，在ARPANET上自我复制，一夜感染6000台机器，直接导致网络瘫痪。后来2001年的红色代码、2003年的SQL Slammer，都是纯蠕虫——Slammer只有376字节，发一个UDP包就能感染，全球互联网在15分钟内就出现明显卡顿。这种“无文件、纯内存、扫描即感染”的劲儿，才是蠕虫的魂。

那什么恶意代码常被误认成蠕虫？木马首当其冲。比如Zeus，专门偷银行账号，它得靠钓鱼链接或恶意附件骗你执行，装完就潜伏，不会自己找下家。蠕虫是“主动进攻型”，木马是“被动渗透型”。还有病毒，比如CIH，它感染可执行文件，需要你运行带毒程序才发作，传播靠文件共享或移动介质，不像蠕虫那样直接利用网络协议裸奔。最容易被混淆的是逻辑炸弹——比如某程序员在公司系统里埋了段代码，到特定日期就删数据库，它根本没有传播能力，纯粹是定时引爆。

你再看实际案例。2021年，微软Exchange服务器被ProxyLogon漏洞攻击，攻击者植入的Webshell——对，就是那种小后门——算蠕虫吗？不算。它只是留在服务器上等你连，不像蠕虫那样主动扩散到其他Exchange。真正的蠕虫攻击，比如2023年的Mimic蠕虫，它会利用Log4j漏洞在云环境里横向移动，从一台虚拟机跳到另一台，还自带反分析模块。这区别就好比：蠕虫是流感病毒，打个喷嚏传染一片；木马是毒蛇，你不碰它它不咬你。

所以回到题目本身，不属于网络蠕虫的恶意代码，最典型的就是远程访问木马（RAT），比如Gh0st RAT或PoisonIvy。它们被植入后给你开个后门，攻击者远程操控，但传播全靠社工或捆绑安装，自己绝不乱跑。还有键盘记录器，比如Spyrix，它只记录输入，连网络通信都少，更别提主动扫描了。

判断标准就一条：它会不会自己找下一个目标？会，就是蠕虫；不会，哪怕它传播再快，也只能算别的类型。下次遇到这种选择题，别被“扩散快”“感染广”这些词带偏，盯住“是否自主传播”这个死理儿，答案自然就浮出来了。