2025年病毒木马防范考试题库及答案

2025年病毒木马防范考试题库及答案一、单项选择题（共30题，每题2分，总计60分，每题只有1个正确选项）1.2025年第一季度全球网络安全厂商联合监测到的首例完全基于开源大模型自动化生成特征免杀、无需人工手动修改代码逻辑的勒索木马家族是（），该家族利用7B参数级开源大模型批量完成代码混淆、花指令插入、特征替换，针对政企涉密终端、三甲医院医疗信息系统发起定向攻击，初期样本免杀率超过92%。A.LockBit3.0B.BlackCat2.0C.PhiMalwareD.Conti4.0答案：C解析：PhiMalware是2025年黑客团伙推出的全AI生成木马家族，彻底打破了传统木马变种需要人工修改的生产模式，单日可生成超过12万个完全不同特征的独立木马样本，传统静态病毒库的特征匹配检出率不足7%。2.针对当前流行的大模型插件投毒木马攻击，攻击者将恶意代码隐写在大模型训练数据集的样本标注中，用户调用微调后的大模型生成办公脚本时会自动内嵌木马加载指令，该类木马的主要触发场景不包括以下哪一项？（）A.运营人员通过大模型自动生成批量客户通知宏脚本B.开发人员通过大模型自动生成业务后端接口代码C.普通用户通过大模型生成旅行攻略纯文本文档D.运维人员通过大模型自动生成服务器批量运维脚本答案：C解析：旅行攻略纯文本文档不存在可执行宏、系统接口调用、远程运维命令等可执行逻辑，无法承载木马执行条件，当前所有已知的大模型投毒木马均不会在该类场景下触发。3.2025年工信部发布的《工业控制系统病毒木马防护规范2.0》中明确要求，工控终端接入生产控制网前必须执行的强制检测项是（），未通过检测的终端一律禁止接入生产网络。A.安装桌面壁纸合规检测B.离线木马特征库全盘扫描+未知文件动态沙箱检测C.终端存储容量达标检测D.已安装软件数量统计答案：B解析：工控系统普遍采用物理断网部署模式，无法实时更新云端病毒库，因此《规范2.0》明确要求终端接入前必须完成本地最新离线特征库扫描，同时所有未知文件必须经过隔离沙箱的动态行为校验，避免定向木马入侵工控生产网引发安全生产事故。4.以下属于2025年新出现的木马类型的是（），该类木马完全驻留于终端的AI生成式杀毒软件的后台进程内存中，不会在硬盘留下任何恶意文件，传统EDR工具无法通过常规进程扫描发现其存在。A.宏病毒木马B.驱动级隐身木马C.杀毒进程寄生内存马D.引导区木马答案：C解析：该类木马利用主流AI杀毒软件的后台静默上传算力占用逻辑，将自身代码寄生在杀毒软件的合法进程空间内，对外展示的所有资源调用行为均符合杀毒软件的正常安全特征，截至2025年第二季度国内已有17家政企单位的终端被该类木马入侵，造成大量敏感数据泄露。5.针对鸿蒙OS5.0系统平台专门研发的“鸿蒙隐形”木马，其核心入侵入口是（），攻击者通过篡改第三方鸿蒙应用商城的非官方安装包植入木马，用户安装后木马会自动获取所有应用的权限读取数据。A.官方应用市场下载的正版办公软件B.签名校验机制被绕过的第三方HAP格式安装包C.系统自带的浏览器D.系统自带的短信应用答案：B解析：2025年监测到的鸿蒙平台木马90%以上均通过篡改第三方HAP安装包传播，攻击者利用公开的鸿蒙应用签名绕过工具，给恶意安装包伪造类官方签名，诱导用户关闭系统安装风险提示后完成植入。6.以下关于2025年车联网场景下的木马传播路径，描述正确的是（），攻击者通过篡改车企公开的OTA升级包植入木马，批量控制联网车辆的车载终端。A.木马无法通过车载蓝牙传播B.正规OTA升级包经过官方签名校验，不可能被植入木马C.攻击者攻破车企OTA更新服务器后，可直接向所有已联网车辆下发带木马的升级包，批量控制上万台车辆D.车载终端不存在被木马入侵的风险答案：C解析：2025年2月某国内造车新势力的OTA服务器曾被黑客入侵11小时，攻击者差点向全国12.7万台已售车辆下发带挖矿木马的升级包，好在安全运维人员及时发现处置，未造成大规模影响。7.某单位运维人员排查终端疑似感染木马的迹象时，以下哪种现象不属于AI免杀木马的典型特征？（）A.终端后台无提示生成大量无意义的乱码临时文件，几秒钟后自动删除B.杀毒软件进程被静默终止，系统进程列表无对应异常名称的进程项C.终端CPU占用率长期维持在95%以上，任务管理器无法查询到占用资源的对应进程D.终端开机后30秒自动弹出Windows系统正版激活提示窗口答案：D解析：开机弹出Windows正版激活提示属于系统未授权激活的正常提示，与木马入侵无直接关联，其余三项均为2025年监测到的AI免杀木马的典型运行特征。8.针对当前流行的“短视频隐写木马”，攻击者将恶意代码拆分隐藏在短视频的每一帧像素冗余信息中，用户通过什么操作会触发木马执行？（）A.用普通视频播放器正常播放该短视频B.将短视频文件转发到微信好友聊天框C.运行攻击者配套提供的恶意视频剪辑软件导入该短视频文件D.把短视频文件上传到云盘做备份答案：C解析：普通视频播放器只会解析视频的音视频播放流，不会读取像素冗余区的隐写代码，只有用户运行攻击者定制的恶意剪辑工具时，才会自动拼接冗余区的恶意代码片段完成木马加载。9.按照2025年国家网络安全等级保护2.0的最新扩展要求，三级等保单位的核心业务服务器必须配置的病毒木马监测机制是（）。A.每周手动执行一次全盘杀毒B.基于全流量行为基线的异常访问监测+无文件木马内存扫描机制C.仅部署传统杀毒软件的默认防护策略D.每半年做一次系统重装查杀木马答案：B解析：传统定期全盘杀毒的机制完全无法防御当前的AI免杀无文件木马，三级等保最新扩展要求明确核心业务服务器必须实现7*24小时的内存层动态监测，无需依赖特征库即可识别异常木马行为。10.攻击者利用AI生成深度伪造语音拨打企业运维人员电话，伪装成单位领导要求下载指定“紧急项目文档”执行木马的攻击方式，属于以下哪类新型传播路径？（）A.移动存储介质传播B.语音社工诱导下载传播C.局域网共享传播D.系统漏洞自动传播答案：B解析：2025年该类社工传播路径的木马攻击成功率超过68%，远高于传统邮件钓鱼的攻击成功率，属于高危木马传播场景。二、多项选择题（共20题，每题3分，总计60分，每题有2个及以上正确选项，多选少选均不得分）1.以下属于2025年病毒木马领域新增的典型攻击特性的是（）。A.基于大模型自动化生成免杀变种，攻击成本降低90%以上B.木马可自动适配不同终端的软硬件环境，动态调整自身代码特征规避检测C.木马可利用生成式AI的多模态能力，从图片、语音、视频文件中提取隐写指令完成后续攻击D.所有2025年新出现的木马都完全无法被任何安全工具检测答案：ABC解析：当前AI生成木马虽然免杀能力大幅提升，但并非完全无法检测，通过动态沙箱行为分析、内存层特征校验的技术路径依然可以实现99%以上的检出率，D选项表述错误。2.以下属于2025年新出现的木马非接触传播路径的是（）。A.生成式AI插件市场投毒，用户下载恶意插件后自动植入木马B.公共WiFi热点的广告弹窗隐写木马下载指令，用户连接热点后自动推送恶意安装包C.开源代码社区投毒，攻击者修改热门开源工具的代码仓库植入木马，开发者拉取代码后全量传播D.老式U盘交叉拷贝文件传播答案：ABC解析：老式U盘传播属于传统木马传播路径，不属于2025年新增的非接触传播路径范畴。3.某单位安全运维人员排查终端疑似感染AI免杀木马的迹象时，以下哪些特征可以作为木马感染的判定依据？（）A.终端后台出现无源头的大体积模型文件调用行为，进程访问路径完全无法溯源B.杀毒软件进程被无提示静默终止，且系统进程列表无对应异常进程名，资源占用统计出现明显缺口C.终端CPU、GPU占用率长期维持在90%以上，任务管理器无法查询到占用资源的对应进程D.终端半年未更新系统补丁，且物理完全断网无任何外接介质接入答案：ABC解析：终端长期物理断网、无任何外接介质接入的场景下，不存在被2025年已知木马入侵的可能性，D选项不属于木马感染判定依据。4.针对政务涉密终端的定向窃密木马，2025年监测到的典型隐蔽数据外传路径包括（）。A.利用终端内置的麦克风模块，将涉密文件编码为音频信号通过声波传输到临近的联网终端B.利用终端显示屏的像素闪烁变化，将涉密文件编码为可见光信号传输到临近的公共摄像头设备回传C.利用终端的无线网卡低频信号传输涉密数据，规避常规网络流量审计监测D.直接通过政务内网的合法办公业务流量通道拆分传输涉密文件答案：ABCD解析：上述四类都是当前针对物理断网涉密终端的木马常用隐蔽传输通道，传统的网络隔离、物理断网防护机制已经无法完全拦截该类外传行为。5.以下属于2025年企业开展全员木马防范专项培训必须覆盖的核心内容是（）。A.陌生邮件附件无论发件人身份是否可确认，都必须先上传到隔离沙箱完成动态检测后才可打开B.非官方应用市场下载的安装包一律禁止在单位办公终端安装C.收到领导通过社交软件、电话告知的紧急文件下载要求，必须通过当面或线下固定电话二次核验身份后再执行操作D.只要安装了最新版杀毒软件，就可以随意下载任何陌生文件答案：ABC解析：最新版杀毒软件的静态特征库完全无法拦截新出现的AI免杀木马，D选项表述属于错误的安全认知，严禁纳入培训内容。6.2025年监测到的针对高校科研系统的挖矿木马，主要入侵入口包括（）。A.公开的大模型微调训练数据集投毒，科研人员加载数据集后自动触发木马执行窃取GPU算力B.科研协作共享平台的恶意安装包传播C.科研服务器对外开放的远程桌面弱口令入侵D.高校校园WiFi的公开接入点自动传播答案：ABCD解析：2025年国内已有19所双一流高校的超算中心被该类挖矿木马入侵，累计被窃取的GPU算力超过2300P算力，直接经济损失超过2亿元。7.以下关于内存驻留型木马的处置流程，描述正确的是（）。A.第一时间断开涉事终端的网络连接，避免木马横向扩散，不得直接重启终端，防止内存中的恶意代码现场被销毁B.第一时间提取终端的完整内存镜像，留存木马行为分析的原始数据C.采用基于行为特征检测的EDR工具对全内存空间做扫描，定位恶意代码的驻留位置D.查杀完成后必须全量修改终端关联的所有系统账号、业务账号的密码，避免木马残留的后门被后续利用答案：ABCD解析：内存驻留木马不会在硬盘留下任何恶意文件，常规重装系统、全盘格式化的处置方式也可能因为未覆盖内存空间导致木马后续重新驻留，严格按照上述流程处置可实现100%清理。8.2025年国家网络安全应急中心明确要求，一旦发生木马入侵事件，涉事单位必须在12小时内上报上级监管部门的情况包括（）。A.木马入侵导致超过10万条公民个人信息泄露B.木马入侵导致核心政务系统、医疗系统业务中断超过1小时C.木马入侵导致工控生产网的关键控制设备停机D.木马仅在单个私人办公终端运行，未访问任何涉密数据、未发生外联行为答案：ABC解析：单个私人终端的偶发木马感染、未造成任何数据泄露和业务影响的场景，无需12小时内上报监管部门，按照单位内部处置流程完成查杀即可。三、判断题（共15题，每题2分，总计30分，正确打√，错误打×）1.只要终端安装了2025年最新版的人工智能杀毒软件，就可以完全阻断所有AI生成的零样本免杀木马入侵。（）答案：×解析：AI免杀木马的样本生成速度远超过杀毒软件特征库的更新周期，纯静态特征查杀机制对新型AI免杀木马的检出率不足30%，必须结合动态沙箱检测、行为基线审计、内存层全量扫描的多层防护机制才能实现有效拦截。2.2025年新出现的“隐写水印木马”将恶意可执行代码拆分隐藏在公开传播的图片、短视频的数字水印图层中，用户普通的浏览图片、播放视频操作就会自动触发木马执行，无需额外下载附件。（）答案：×解析：普通的图片查看器、视频播放器只会解析媒体文件的正常显示层内容，不会读取数字水印图层的冗余隐写信息，只有用户运行攻击者配套提供的恶意软件导入该媒体文件时，才会拼接水印中的恶意代码片段完成木马加载，常规浏览操作不会触发。3.针对物理完全断网、没有任何外接介质接入的涉密终端，同样存在被新型声学木马、光学木马入侵的可能性，不能完全放松木马防范要求。（）答案：√解析：当前新型隐蔽传播木马可通过声波、可见光、电磁信号等非实体介质实现跨隔离网络的横向传播，完全物理断网的涉密终端也必须定期开展内存木马专项排查。4.所有通过大模型生成的办公脚本内容都是安全的，不会隐藏木马加载逻辑，可以直接在单位办公终端运行。（）答案：×解析：被投毒的微调大模型生成的脚本会自动嵌入隐蔽木马加载指令，该类指令不会显示在脚本的可视化代码片段中，普通用户无法通过肉眼识别，必须经过动态沙箱校验后才可运行。5.单位内部的OA系统自动推送的附件全部经过安全人员检测，不存在植入木马的可能性，用户可以直接打开。（）答案：×解析：如果OA系统本身被攻击者入侵，上传的附件会全部被自动植入木马，即便是内部推送的附件，也需要定期做随机抽样安全检测，避免出现大规模感染事件。6.2025年监测到的车载终端木马，可以通过车载蓝牙连接用户手机的路径，进一步把木马传播到用户的移动终端中窃取个人数据。（）答案：√解析：当前车联网木马的跨设备传播特性已经成熟，已有多个安全厂商监测到车载端木马向用户手机、家用智能设备横向扩散的攻击案例。7.传统的查杀引导区木马的方式，只需要格式化系统硬盘就可以完全清除所有恶意代码，不需要额外开展BIOS固件层面的检测。（）答案：×解析：2025年新出现的固件级引导区木马会把自身代码写入主板BIOS的固件分区中，常规格式化硬盘完全无法清除，即便更换新的硬盘，开机后木马依然会自动加载完成植入。8.未接入互联网的本地离线单机设备，不存在被木马入侵的风险，不需要安装任何防护软件。（）答案：×解析：攻击者可以通过移动存储介质、外接硬件设备等路径向离线单机植入木马，针对涉密离线设备的木马攻击场景当前已经非常普遍，同样需要配置适配离线场景的病毒木马防护机制。四、案例分析题（共3题，每题40分，总计120分）1.案例1：2025年4月某省直机关单位收到伪装成省财政厅下发的《2025年省级专项经费申报指南》的邮件附件，附件是AI生成的带宏的Word文档，宏代码完全由开源大模型自动改写，所有传统病毒特征库均无匹配记录，单位内网127台终端点击附件后被植入定向窃密木马，木马自动抓取终