加密病毒/恶意软件是否会失效？加密后能否运作及被杀毒软件检测？

1. 加密病毒/恶意软件会使其失去活性吗？ #

不一定，核心看加密是否配套了解密机制：

• 如果只是对恶意软件的可执行文件做静态加密，没有任何解密逻辑，系统加载器无法识别加密后的二进制内容，它肯定无法运行，相当于失活。
• 但如果是恶意软件自身携带自解密模块（比如很多勒索病毒、远控木马的 payload），加密只是它的自我保护手段，运行时会先解密自身再执行，完全不会失活。

2. 事后加密（非设计阶段加密）的恶意软件还能运作吗？ #

绝大多数情况下不能。这种事后加密是外部直接对恶意软件的二进制文件加密，没有给它添加解密的入口。系统尝试加载时，无法解析加密后的代码，要么直接报错，要么根本无法启动。只有额外给它套上带自解密功能的壳（相当于事后补了解密逻辑），才有可能先解密再运行，但这已经是对原恶意软件的修改，不属于单纯的事后加密了。

3. 加密状态的恶意软件，杀毒软件能检测到吗（假设可解密）？ #

分两种检测场景来看：

• 静态检测：如果杀毒软件的特征库只针对恶意软件的原始明文特征，加密后的文件可能躲过静态扫描；但如果杀毒软件能识别加密壳的特征（比如常见的UPX、ASPack壳的特征），或者通过文件熵值过高、异常文件头等特征标记可疑，还是会被盯上。
• 动态检测：如果恶意软件运行时会自动解密自己，杀毒软件在沙箱环境中运行它，就能捕获到解密后的明文内容，只要匹配到特征库就能检测出来。另外，很多杀毒软件会监控进程内存行为，当恶意软件把解密后的代码加载到内存时，也会被检测到。

内容的提问来源于stack exchange，提问作者Irios