蠕虫 /特洛伊木马类
这类病毒一般不感染其它的正常可执行文件，它会像正常的软件一样 "安装 "在系统中，只不过 "安装 "过程是秘密的。它们一般会更改系统配置文件及注册表：
一、更改系统的相关配置文件（这种情况主要是针对 95/98/me系统）。
病毒可能会更改 autoexec.bat，只要在其中加入执行病毒程序文件的语句即可在系统启动时自动激活病毒。
更改 drive:\windows\win.ini或者 system.ini文件。病毒通常会在 win.ini的 "run="后面加入病毒自身的文件名，或者在 system.ini文件中将 "shell="更改。
二、更改注册表健值。
目前，只要新出的蠕虫 /特洛伊木马类病毒一般都有修改系统注册表的动作。它们修改的位置一般有以下几个地方：
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\
说明：在系统启动时自动执行的程序
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\
说明：在系统启动时自动执行的系统服务程序
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
说明：在系统启动时自动执行的程序，这是病毒最有可能修改 /添加的地方。例如： Worm.Netsky.h病毒将增加： HKLM\Software\Microsoft\Windows\CurrentVersion\Run\"antivirus" = "%WINDIR%\maja.exe -antivirus service"
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\run
说明：此键值相当于在 Win.ini的 "run="加入病毒自身文件名，能使在系统启动时自动激活病毒。 HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
说明：此键值相当于在 System.ini的 "shell="加入病毒自身文件名，能使在系统启动时自动激活病毒。 HKEY_CLASSES_ROOT\exefile\shell\open\command
说明：此键值能使病毒在用户运行任何 EXE程序时被运行，即文件关联键值。以此类推， ..\txtfile\.. 或者 ..\comfile\.. 也可被更改，以便实现病毒自动运行的功能。
另外，有些键值还可能被利用来实现比较特别的功能：
如有些病毒会通过修改下面的键值来阻止用户查看和修改注册表：
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\
System\DisableRegistryTools =
从以上键值找出可疑文件文件名，然后全盘查找这些文件作为附件上报。
