Rodzaje złośliwego oprogramowania: jak działa wirus, robak i trojan

Rodzaje złośliwego oprogramowania łatwo pomylić, bo w potocznym języku wszystko jest wirusem. W rzeczywistości wirus to jeden konkretny typ, a to, co najczęściej trafia dziś na komputery, wirusem nie jest. Różnice nie są akademickie: od nich zależy, jak zagrożenie się rozprzestrzenia i co da się z nim zrobić.

Czym w ogóle jest złośliwe oprogramowanie

Złośliwe oprogramowanie, po angielsku malware, to zbiorcza nazwa programów napisanych po to, żeby zaszkodzić użytkownikowi albo systemowi. Szkoda może oznaczać zniszczenie danych, ich kradzież, przejęcie kontroli nad maszyną albo wykorzystanie jej mocy do cudzych celów.

Podział, który stosujemy niżej, opiera się na dwóch pytaniach: jak program się rozprzestrzenia i co robi po dostaniu się do systemu. To dwie niezależne cechy, dlatego jeden szkodnik może być jednocześnie robakiem i ransomware.

Rodzaje złośliwego oprogramowania w tabeli

Wirus, robak i koń trojański: trzy różne mechanizmy

Wirus doczepia swój kod do istniejącego pliku, najczęściej wykonywalnego. Sam z siebie nic nie robi. Uruchamia się dopiero wtedy, gdy człowiek otworzy zarażony plik, i dopiero wtedy zaraża kolejne. Wirus potrzebuje więc nosiciela i cudzej decyzji.

Robak nie potrzebuje ani jednego, ani drugiego. Kopiuje się przez sieć samodzielnie, wykorzystując luki w usługach albo książkę adresową poczty. Dlatego robaki rozchodzą się w godzinach, a wirusy w tygodniach, i dlatego to robaki potrafią położyć sieć w firmie.

Koń trojański nie powiela się wcale. Jego cała siła polega na tym, że podszywa się pod przydatny albo ciekawy program i użytkownik instaluje go własnoręcznie. Kraker gier, darmowy konwerter plików, aktualizacja odtwarzacza z podejrzanej strony. Po instalacji zwykle otwiera napastnikowi zdalny dostęp do maszyny.

Ta trójka wyczerpuje sposoby rozprzestrzeniania. Wszystko inne z tabeli opisuje raczej to, co szkodnik robi po dostaniu się do systemu.

Ransomware, spyware i adware: co robią po instalacji

Ransomware szyfruje pliki użytkownika i wyświetla żądanie okupu za klucz. To dziś najkosztowniejsza kategoria dla firm i szpitali, bo uderza w dane, których nie da się odtworzyć inaczej niż z kopii zapasowej. Kopia zapasowa trzymana poza siecią jest jedyną skuteczną obroną, bo ransomware szyfruje też dyski sieciowe, do których ma dostęp.

Spyware zbiera informacje: odwiedzane strony, wpisywane dane, czasem zawartość schowka. Działa cicho, bo jego wartość dla napastnika polega na tym, żeby nie zostać zauważonym.

Adware to oprogramowanie, które wyświetla reklamy, często wymuszając zgodę na ich emisję przy instalacji. Bywa legalne, gdy producent darmowego programu jawnie informuje, że w ten sposób zarabia. Za złośliwe uznajemy je wtedy, gdy zgody nie da się cofnąć, reklamy pojawiają się poza programem albo dochodzi do tego śledzenie użytkownika.

Exploit, czyli klucz do zamka

Osobno stoi exploit: program albo fragment kodu, który wykorzystuje błąd popełniony przez programistę w systemie lub aplikacji, żeby wykonać działanie normalnie niedozwolone.

Exploit sam w sobie nie jest szkodnikiem, tylko narzędziem wejścia. To różnica jak między wytrychem a złodziejem. Robak używa exploita, żeby dostać się na kolejną maszynę, a ransomware, żeby uzyskać uprawnienia administratora. Dlatego aktualizacje systemu są ważniejsze niż wybór antywirusa: załatana luka unieważnia exploita, zanim ktokolwiek go użyje.

Najgroźniejsza odmiana to zero-day, czyli exploit na błąd, o którym producent jeszcze nie wie. Nie ma na niego łatki, więc jedyną obroną jest ograniczanie uprawnień i monitorowanie tego, co dzieje się w systemie.

Rodzaje złośliwego oprogramowania: po czym poznać zarażenie

Objawy zależą od typu, ale kilka sygnałów powtarza się niezależnie od niego:

Komputer zwolnił bez powodu. Szkodnik zużywa procesor, zwłaszcza gdy kopie kryptowalutę albo szyfruje pliki w tle. Warto sprawdzić, co obciąża system, korzystając z wiedzy o tym, jak działają procesy i wątki.

Ruch sieciowy przy bezczynności. Nic nie robisz, a dioda aktywności sieci miga. To typowe dla spyware i botnetów.

Zmieniona strona startowa albo nowe rozszerzenia w przeglądarce. Klasyczny objaw adware.

Pliki z dziwnym rozszerzeniem i plik tekstowy z żądaniem okupu. Ransomware nie ukrywa się po zakończeniu pracy, bo jego celem jest, żebyś zauważył.

Antywirus przestał się aktualizować. Część szkodników blokuje aktualizacje jako pierwszą czynność. O tym, jak działa sama ochrona, pisaliśmy w tekście o programach antywirusowych i ich rodzajach.

Jak się bronić w praktyce

Kolejność ma znaczenie, bo najskuteczniejsze rzeczy są jednocześnie najnudniejsze.

1. Aktualizuj system i programy. To unieważnia exploity, czyli odcina najczęstszą drogę wejścia.

2. Rób kopie zapasowe poza siecią. Dysk zewnętrzny odłączany po kopii przetrwa ransomware, dysk sieciowy podłączony na stałe zwykle nie.

3. Nie pracuj na koncie administratora. Ograniczone uprawnienia ograniczają też szkody.

4. Instaluj programy tylko ze źródeł producenta. Konie trojańskie żyją głównie na stronach z darmowym oprogramowaniem i w torrentach.

5. Dopiero na końcu antywirus. Jest potrzebny, ale wykrywa to, co już zna, więc nie zastąpi czterech punktów wyżej.

Najczęściej zadawane pytania

Czym różni się wirus od robaka?

Wirus potrzebuje pliku nosiciela i uruchomienia przez użytkownika, a robak rozprzestrzenia się przez sieć samodzielnie. Dlatego robak rozchodzi się znacznie szybciej i nie wymaga żadnego błędu człowieka.

Czy koń trojański się powiela?

Nie. To jego cecha rozpoznawcza: trojan nie kopiuje się sam, tylko liczy na to, że użytkownik zainstaluje go dobrowolnie, biorąc za przydatny program.

Czy adware jest zawsze szkodliwy?

Nie zawsze. Programy finansowane reklamami są legalne, jeśli jasno o tym informują. Za złośliwe uznaje się takie, które wyświetlają reklamy poza własnym oknem, śledzą użytkownika albo nie dają się usunąć.

Co to jest exploit?

Kod wykorzystujący błąd programisty w oprogramowaniu, żeby wykonać niedozwolone działanie. Sam nie jest szkodnikiem, tylko sposobem wejścia, z którego korzystają robaki i ransomware.

Czy antywirus wystarczy do ochrony?

Nie. Antywirus rozpoznaje przede wszystkim znane zagrożenia, więc nie zatrzyma ataku wykorzystującego świeżą lukę. Aktualizacje i kopie zapasowe chronią skuteczniej.

Czym jest atak zero-day?

Wykorzystaniem błędu, o którym producent oprogramowania jeszcze nie wie i na który nie ma poprawki. Nazwa bierze się stąd, że na reakcję zostało zero dni.

Podsumowanie

Rodzaje złośliwego oprogramowania najłatwiej uporządkować dwoma pytaniami: jak wchodzi i co robi. Wirus, robak i trojan opisują drogę wejścia, a ransomware, spyware, adware i rootkit to, co dzieje się potem. Exploit stoi obok tego podziału, bo jest narzędziem otwierającym drzwi, a nie samym szkodnikiem.

Z praktycznego punktu widzenia najwięcej daje aktualizowanie oprogramowania i trzymanie kopii zapasowej poza siecią. Antywirus jest ostatnią, a nie pierwszą linią obrony.

Stan na wrzesień 2026 r.