PGDCA, BCA, B-Tech, MCA, M-Tech, B.Sc computer science राजस्थान सूचना सहायक व कंप्यूटर शिक्षक विशेष नोट्स: इस अध्याय में हम Computer Malware Categories: Virus, Worm, Trojan, Spyware (कंप्यूटर मैलवेयर: वायरस, वॉर्म, ट्रोजन हॉर्स और स्पाइवेयर का वर्गीकरण) की संपूर्ण थ्योरी, मुख्य तकनीकी बिंदु, तुलनात्मक तालिका और विगत परीक्षाओं के पैटर्न पर आधारित 20 अति-महत्वपूर्ण बहुविकल्पीय प्रश्न (MCQs) विस्तृत हिंदी व अंग्रेजी व्याख्या सहित पढ़ेंगे।
Overview: Malware (malicious software) encompasses distinct threat families—including Viruses, Worms, Trojans, and Spyware—classified by their propagation vectors, host dependency, and stealth objectives. Modern endpoint defense combines static hash/YARA signatures with behavioral telemetry and sandbox detonation to catch both file-based and fileless threats.
अध्याय सार: मैलवेयर (Malicious Software) के अंतर्गत वायरस, वॉर्म, ट्रोजन हॉर्स और स्पाइवेयर जैसे विविध खतरनाक प्रोग्राम आते हैं, जिन्हें उनके प्रसार के तरीके, होस्ट पर निर्भरता और गुप्त उद्देश्यों के आधार पर वर्गीकृत किया जाता है। आधुनिक एंडपॉइंट सुरक्षा स्टैटिक हैश व YARA सिग्नेचर के साथ-साथ व्यवहार-आधारित विश्लेषण (EDR) और सैंडबॉक्सिंग द्वारा इन खतरों की पहचान करती है।
Computer Malware Categories: Virus, Worm, Trojan, Spyware: Detailed Notes & Architecture (कंप्यूटर मैलवेयर: वायरस, वॉर्म, ट्रोजन हॉर्स और स्पाइवेयर का वर्गीकरण)
1. Malware Taxonomy: Propagation vs Host Dependency (मैलवेयर वर्गीकरण: प्रसार तंत्र बनाम होस्ट निर्भरता)
[EN] Cyber security practitioners categorize malware along two primary axes: how it spreads and what payload it executes. Viruses attach themselves to executable hosts or boot records and require user action (launching the host) to propagate, whereas Worms are standalone programs that exploit network protocols such as SMB or RPC to self-replicate autonomously without user interaction. Trojans neither infect files nor self-replicate; instead, they disguise themselves as legitimate software to trick users into executing hidden backdoors, while Spyware operates silently to exfiltrate credentials, browsing habits, or keystrokes.
[HI] साइबर सुरक्षा में मैलवेयर को मुख्य रूप से उसके प्रसार के तरीके और पेलोड के उद्देश्य के आधार पर बांटा जाता है। वायरस किसी वैध फाइल या बूट सेक्टर से जुड़ता है और फैलने के लिए उपयोगकर्ता द्वारा फाइल चलाने की प्रतीक्षा करता है, जबकि वॉर्म एक स्वतंत्र प्रोग्राम है जो बिना मानवीय हस्तक्षेप के नेटवर्क प्रोटोकॉल की कमजोरियों से स्वतः फैलता है। ट्रोजन हॉर्स खुद की प्रतिलिपि नहीं बनाता बल्कि उपयोगी सॉफ्टवेयर का रूप धरकर उपयोगकर्ता को धोखा देता है, और स्पाइवेयर चुपचाप पासवर्ड या गतिविधि की जासूसी करता है।
2. Payload Archetypes: Logic Bombs, Droppers and Blended Threats (पेलोड के प्रकार: लॉजिक बॉम्ब, ड्रॉपर और ब्लेंडेड थ्रेट्स)
[EN] Real-world malware frequently merges capabilities across categories. A Dropper or Stager is a lightweight initial payload whose sole purpose is to bypass perimeter controls and unpack or download a larger secondary malware payload (such as a Trojan or Ransomware) from a Command-and-Control server. Logic Bombs remain completely dormant inside legitimate or trojanized code until a specific condition—such as a calendar date, deletion of an employee account, or a trigger file—is met. Modern 'Blended Threats' combine worm-like exploit propagation, rootkit hiding, and spyware data harvesting inside one campaign.
[HI] वास्तविक साइबर हमलों में मैलवेयर अक्सर कई श्रेणियों की विशेषताएं मिलाते हैं। ड्रॉपर (Dropper) या स्टेजर एक छोटा प्रारंभिक प्रोग्राम होता है जो सुरक्षा जांच को चकमा देकर मुख्य पेलोड को सिस्टम में अनपैक या डाउनलोड करता है। लॉजिक बॉम्ब (Logic Bomb) किसी वैध या दुर्भावनापूर्ण कोड के भीतर तब तक निष्क्रिय रहता है जब तक कोई निश्चित शर्त (जैसे कोई विशेष तारीख या किसी कर्मचारी की ID हटना) पूरी न हो। आधुनिक 'Blended Threats' एक ही हमले में वॉर्म के नेटवर्क प्रसार, रूटकिट के छिपाव और स्पाइवेयर की जासूसी को जोड़ते हैं।
3. Fileless Malware and Living-off-the-Land (LotL) (फाइललेस मैलवेयर और Living-off-the-Land (LotL) तकनीक)
[EN] Unlike classic PE-binary malware written to disk, fileless malware operates primarily in volatile system memory (RAM) or inside OS registry keys and WMI event subscriptions. Attackers abuse trusted, digitally signed administrative binaries—known as Living-off-the-Land Binaries (LOLBins) such as `powershell.exe`, `mshta.exe`, `certutil.exe`, and `rundll32.exe`—to execute encoded payloads directly in memory via reflective DLL injection or process hollowing. Because no malicious `.exe` hits the NTFS filesystem, traditional disk-scanning antivirus engines struggle without script-block logging and AMSI (Antimalware Scan Interface).
[HI] पारंपरिक डिस्क-आधारित मैलवेयर के विपरीत, फाइललेस मैलवेयर मुख्य रूप से सिस्टम की RAM, विंडोज रजिस्ट्री या WMI सब्सक्रिप्शन के भीतर चलता है। इसमें हमलावर किसी नई `.exe` फाइल को डिस्क पर डालने के बजाय सिस्टम में पहले से मौजूद वैध व हस्ताक्षरित टूल (LOLBins) जैसे `powershell.exe`, `mshta.exe` और `certutil.exe` का दुरुपयोग करते हैं। इस कारण साधारण डिस्क-स्कैनिंग एंटीवायरस इसे आसानी से नहीं पकड़ पाते, जिसके लिए PowerShell Script Block Logging और AMSI (Antimalware Scan Interface) की आवश्यकता होती है।
4. Malware Detection: Signatures, Heuristics, Behavioral EDR and Sandboxing (मैलवेयर पहचान: सिग्नेचर, ह्यूरिस्टिक्स, EDR और सैंडबॉक्सिंग)
[EN] Defense-in-depth detects malware across four progressive analysis tiers. Signature-based detection matches known cryptographic hashes (SHA-256) or byte sequences (YARA rules) with ultra-low false positives, yet fails against newly compiled or slightly modified binaries. Heuristic analysis inspects PE headers, high Shannon entropy (indicating packing/encryption), and suspicious API imports (`VirtualAllocEx`, `WriteProcessMemory`). Behavioral Endpoint Detection and Response (EDR) monitors live process trees and system calls, while isolated Dynamic Sandboxes detonate unknown samples safely to capture dropped files, registry persistence, and C2 DNS queries.
[HI] मैलवेयर की पहचान के लिए बहु-स्तरीय सुरक्षा का उपयोग किया जाता है। सिग्नेचर-आधारित पहचान ज्ञात SHA-256 हैश या YARA पैटर्न से मिलान करती है, लेकिन नए या बदले हुए वेरिएंट पर विफल हो सकती है। ह्यूरिस्टिक विश्लेषण PE हेडर, उच्च एन्ट्रॉपी (पैकिंग का संकेत) और संदिग्ध API कॉल की जांच करता है। व्यवहार-आधारित EDR रीयल-टाइम में प्रोसेस ट्री और सिस्टम कॉल पर नजर रखता है, जबकि डायनामिक सैंडबॉक्स संदिग्ध फाइल को अलग सुरक्षित वातावरण में चलाकर उसकी नेटवर्क व फाइल गतिविधियों को रिकॉर्ड करता है।
Syntax, Formula & Technical Example (Computer Malware Categories: Virus, Worm, Trojan, Spyware)
# Static Malware Triage: YARA Classification Rule & PowerShell IOC Check
rule Suspicious_Dropper_Injection {
meta:
description = "Detects PE binaries importing process injection APIs"
strings:
$mz = { 4D 5A } // PE DOS Magic Header ('MZ')
$api1 = "VirtualAllocEx" ascii
$api2 = "WriteProcessMemory" ascii
$api3 = "CreateRemoteThread" ascii
condition:
$mz at 0 and all of ($api*)
}
# PowerShell Triage: Get-FileHash -Path C:\Temp\update.exe -Algorithm SHA256Computer Malware Categories: Virus, Worm, Trojan, Spyware Quick Reference & Comparison Table
| Malware Category | Propagation & Host Behavior | Primary Exam Distinction |
|---|---|---|
| Computer Virus | Attaches to executable/boot sector; requires host execution | Host-dependent; cannot spread alone |
| Computer Worm | Standalone binary; exploits network services autonomously | Self-propagating over LAN/WAN |
| Trojan Horse | Masquerades as benign software; social-engineered execution | No self-replication mechanism |
| Spyware | Covertly collects keystrokes, credentials, and telemetry | Stealth surveillance & exfiltration |
Computer Malware Categories: Virus, Worm, Trojan, Spyware Top 20 Bilingual MCQs with Answers
Q1. Which malware characteristic cleanly separates a Computer Worm from a Computer Virus?
(कौन सी विशेषता कंप्यूटर वॉर्म (Worm) को कंप्यूटर वायरस (Virus) से स्पष्ट रूप से अलग करती है?)
(A) A worm never opens network sockets or consumes bandwidth
(B) A worm only infects Microsoft Word `.docm` documents
(C) A worm is standalone and self-propagates across networks without needing a host program or user click
(D) A worm cannot execute inside RAM and resides solely in BIOS EEPROM
Correct Answer: (C)
[EN] Unlike viruses that attach to host files and rely on users running them, worms actively scan and exploit network services autonomously.
[HI] वायरस के विपरीत, जो होस्ट फाइल से जुड़कर यूजर के चलाने पर निर्भर रहता है, वॉर्म स्वतंत्र रूप से नेटवर्क कमजोरियों का लाभ उठाकर खुद फैलता है।
Q2. In a Windows PE binary triage using a YARA rule, what do the leading hexadecimal bytes `4D 5A` (`MZ`) at offset 0 indicate?
(YARA नियम द्वारा विंडोज बाइनरी जांच में ऑफसेट 0 पर शुरुआती हेक्साडेसिमल बाइट्स `4D 5A` (`MZ`) क्या दर्शाते हैं?)
(A) A Master Boot Record sector signature
(B) An encrypted ZIP archive header
(C) The DOS header magic signature identifying a Windows Portable Executable (PE) file
(D) An ELF binary compiled strictly for Linux kernels
Correct Answer: (C)
[EN] `4D 5A` ('MZ', after Mark Zbikowski) starts Windows `.exe`, `.dll`, and `.sys` PE files; Linux ELF binaries begin with `7F 45 4C 46`.
[HI] `4D 5A` ('MZ') विंडोज PE फाइलों (`.exe`, `.dll`) का मैजिक हेडर होता है, जबकि Linux ELF फाइलें `7F 45 4C 46` से शुरू होती हैं।
Q3. An insider places a hidden routine in a payroll script that wipes the database only if their Employee ID disappears from Active Directory. How is this classified?
(एक आंतरिक कर्मचारी पेरोल स्क्रिप्ट में ऐसा छिपा कोड डालता है जो डेटाबेस को तभी मिटाए जब उसकी Employee ID सिस्टम से हटे। इसे क्या कहते हैं?)
(A) Polymorphic Worm
(B) Boot Sector Virus
(C) Logic Bomb
(D) Tracking Cookie
Correct Answer: (C)
[EN] A Logic Bomb executes its destructive payload strictly when a pre-programmed logical condition (date, event, or missing record) becomes true.
[HI] लॉजिक बॉम्ब किसी विशेष शर्त (जैसे तारीख या किसी रिकॉर्ड के हटने) के सत्य होने पर ही अपना नुकसानदायक पेलोड सक्रिय करता है।
Q4. Why do fileless malware campaigns abuse Windows binaries like `powershell.exe`, `mshta.exe`, and `certutil.exe`?
(फाइललेस मैलवेयर अभियान `powershell.exe`, `mshta.exe` और `certutil.exe` जैसे विंडोज टूल्स का दुरुपयोग क्यों करते हैं?)
(A) They automatically convert NTFS partitions into FAT16
(B) They work only when the computer is powered off
(C) They physically disable CPU L1/L2 hardware caches
(D) They are trusted, Microsoft-signed LOLBins that bypass basic application allowlisting and execute payloads in memory
Correct Answer: (D)
[EN] Living-off-the-Land Binaries (LOLBins) come pre-installed and digitally signed, letting attackers run in-memory code without dropping obvious malware binaries.
[HI] ये सिस्टम में पहले से मौजूद हस्ताक्षरित वैध टूल (LOLBins) हैं, जिनकी मदद से हमलावर डिस्क पर संदिग्ध `.exe` डाले बिना RAM में कोड चला लेते हैं।
Q5. Which trio of Windows API calls (`VirtualAllocEx`, `WriteProcessMemory`, `CreateRemoteThread`) strongly indicates which malicious behavior during static analysis?
(स्टैटिक विश्लेषण के दौरान विंडोज API कॉल `VirtualAllocEx`, `WriteProcessMemory` और `CreateRemoteThread` का एक साथ दिखना किस दुर्भावनापूर्ण गतिविधि का संकेत है?)
(A) TLS 1.3 certificate rotation
(B) HTTP 301 permanent web redirection
(C) Classic Process Injection into another legitimate running process
(D) BIOS CMOS battery draining
Correct Answer: (C)
[EN] Malware allocates memory in a target process (`VirtualAllocEx`), copies shellcode (`WriteProcessMemory`), and launches execution (`CreateRemoteThread`).
[HI] यह क्रम दर्शाता है कि मैलवेयर किसी वैध प्रक्रिया में मेमोरी आवंटित करके अपना शेलकोड डाल रहा है (Process Injection) ताकि छिपकर चल सके।
Q6. What does an abnormally high Shannon entropy (near 7.8-8.0 bits/byte) inside a suspicious `.exe` section typically indicate?
(किसी संदिग्ध `.exe` फाइल के सेक्शन में अत्यधिक उच्च Shannon एन्ट्रॉपी (लगभग 7.8-8.0 बिट्स/बाइट) आमतौर पर क्या दर्शाती है?)
(A) The file is an empty zero-filled text document
(B) The binary was digitally signed by a root Certificate Authority
(C) The payload is packed, compressed, or encrypted to evade static signature detection
(D) The file contains only readable plain ASCII comments
Correct Answer: (C)
[EN] Random-looking encrypted or packed code approaches maximum byte randomness (8.0), alerting heuristic scanners to obfuscated malware.
[HI] पैक्ड, कंप्रेस्ड या एन्क्रिप्टेड डेटा में बाइट्स लगभग रैंडम दिखते हैं जिससे एन्ट्रॉपी 8.0 के करीब पहुंचती है; यह ऑब्फस्केटेड मैलवेयर का संकेत है।
Q7. Which component in Windows enables Endpoint Detection and Response (EDR) tools and antivirus engines to inspect dynamically decoded PowerShell and VBScript code right before execution?
(विंडोज में कौन सा इंटरफेस एंटीवायरस और EDR को निष्पादन से ठीक पहले मेमोरी में डिकोड किए गए PowerShell या VBScript कोड की जांच करने की अनुमति देता है?)
(A) SNMP Trap Daemon
(B) AMSI (Antimalware Scan Interface)
(C) DHCP Relay Agent
(D) MBR (Master Boot Record)
Correct Answer: (B)
[EN] AMSI bridges scripting hosts (PowerShell, WSH, JScript, VBA) with installed AV/EDR engines so obfuscated in-memory scripts are scanned after deobfuscation.
[HI] AMSI (Antimalware Scan Interface) स्क्रिप्ट होस्ट को सुरक्षा इंजन से जोड़ता है ताकि मेमोरी में डिकोड होने वाले कमांड भी पकड़े जा सकें।
Q8. What is the primary limitation of pure cryptographic hash (MD5/SHA-256) signature-based malware detection?
(केवल क्रिप्टोग्राफिक हैश (MD5/SHA-256) आधारित मैलवेयर पहचान की सबसे बड़ी सीमा क्या है?)
(A) Cryptographic hashes take several hours to compute for a 10 KB file
(B) Flipping a single byte or recompiling the malware completely invalidates the hash signature
(C) Hashes can only inspect JPEG images and ignore `.exe` binaries
(D) SHA-256 exposes the user's private TLS keys on the network
Correct Answer: (B)
[EN] Due to the avalanche effect, trivial byte padding or re-packing changes a file's hash entirely, enabling zero-day evasion against pure hash lists.
[HI] एवलांच प्रभाव के कारण फाइल में केवल एक बाइट बदलने या पुनः पैक करने से पूरा हैश बदल जाता है, जिससे सिग्नेचर बेअसर हो जाता है।
Q9. Which malware role describes a small utility like `invoice_view.exe` whose primary function is to extract an embedded ransomware binary into `%APPDATA%` and launch it?
(उस मैलवेयर घटक को क्या कहते हैं जिसका मुख्य काम स्वयं बड़ा नुकसान करने के बजाय अपने भीतर छिपे मुख्य पेलोड को `%APPDATA%` में निकालकर चलाना होता है?)
(A) Adware Cookie
(B) Bootkit
(C) Keylogger Driver
(D) Dropper
Correct Answer: (D)
[EN] A Dropper carries a hidden secondary payload inside its resources/sections and writes it to disk upon execution, whereas a Downloader fetches it over the network.
[HI] ड्रॉपर (Dropper) अपने अंदर छिपे मुख्य मैलवेयर को डिस्क पर अनपैक करके चलाता है, जबकि डाउनलोडर उसे नेटवर्क से प्राप्त करता है।
Q10. Which statement is NOT true regarding malware categories and detection strategies?
(मैलवेयर श्रेणियों और पहचान रणनीतियों के संबंध में निम्नलिखित में से कौन सा कथन सत्य नहीं है?)
(A) Dynamic sandboxing observes live API calls, dropped files, and C2 connections
(B) YARA rules allow analysts to match custom string, regex, and hex byte patterns
(C) Viruses inject code into legitimate files or boot sectors to propagate upon execution
(D) Trojan horses automatically spread across corporate LANs via SMB exploits without any user deception
Correct Answer: (D)
[EN] Trojans do not self-propagate via network exploits; they rely on masquerading as trusted software to fool a user into executing them.
[HI] ट्रोजन हॉर्स नेटवर्क कमजोरियों से स्वतः नहीं फैलते; वे वैध प्रोग्राम होने का दिखावा करके उपयोगकर्ता को खुद को चलाने के लिए भ्रमित करते हैं।
Q11. During Dynamic Sandbox analysis of a suspected binary, why do advanced malware samples check `GetTickCount()`, cursor movement, or MAC address prefixes (`00:05:69`)?
(डायनामिक सैंडबॉक्स विश्लेषण के दौरान आधुनिक मैलवेयर `GetTickCount()`, माउस मूवमेंट या `00:05:69` जैसे MAC एड्रेस की जांच क्यों करते हैं?)
(A) To repair corrupted Windows Update files automatically
(B) To optimize CPU multithreading for faster enterprise database indexing
(C) To detect virtualized analysis environments/sandboxes and stall malicious behavior (anti-analysis evasion)
(D) To renew DHCP leases on behalf of VMware hypervisors
Correct Answer: (C)
[EN] Sandboxes often lack real human mouse activity and expose VMware/VirtualBox MAC prefixes; evasion-aware malware stays benign if detected.
[HI] सैंडबॉक्स या VM (जैसे VMware `00:05:69`) की पहचान होने पर मैलवेयर अपनी दुर्भावनापूर्ण गतिविधि रोक देते हैं ताकि विश्लेषक उन्हें पकड़ न सकें।
Q12. How does a 'Blended Threat' differ from an isolated single-purpose virus?
('ब्लेंडेड थ्रेट' (Blended Threat) एक सामान्य एकल-उद्देश्यीय वायरस से किस प्रकार भिन्न होता है?)
(A) It executes exclusively inside read-only PDF help manuals without scripts
(B) It requires physical soldering onto motherboard ROM chips
(C) It combines multiple attack vectors and malware behaviors—such as worm scanning, trojan backdoors, and spyware—in one campaign
(D) It infects only hardware printers via parallel LPT1 cables
Correct Answer: (C)
[EN] Historic threats like Nimda and modern APT toolkits combine multiple delivery vectors (email, web, network shares) and payloads simultaneously.
[HI] ब्लेंडेड थ्रेट एक ही अभियान में वॉर्म के नेटवर्क प्रसार, ट्रोजन बैकडोर और स्पाइवेयर जैसे कई हमलावर तरीकों को एक साथ जोड़ता है।
Q13. Which MITRE ATT&CK matrix category specifically catalogs how malware maintains access across system reboots using Registry Run keys or Scheduled Tasks?
(MITRE ATT&CK फ्रेमवर्क की कौन सी श्रेणी बताती है कि मैलवेयर रीबूट के बाद भी सिस्टम में बने रहने के लिए Registry Run Keys या Scheduled Tasks का उपयोग कैसे करता है?)
(A) Persistence (TA0003)
(B) Impact (TA0040)
(C) Exfiltration (TA0010)
(D) Reconnaissance (TA0043)
Correct Answer: (A)
[EN] Persistence techniques (such as Registry Run Keys `T1547.001` and Scheduled Tasks `T1053`) ensure malware restarts automatically after reboot.
[HI] Persistence (स्थायित्व) तकनीकें यह सुनिश्चित करती हैं कि कंप्यूटर बंद होकर दोबारा चालू होने पर भी मैलवेयर पुनः सक्रिय हो जाए।
Q14. When triaging an infected Windows host, which command safely computes the cryptographic SHA-256 fingerprint of a suspicious executable without executing it?
(संक्रमित विंडोज सिस्टम की जांच करते समय बिना फाइल को चलाए उसका SHA-256 फिंगरप्रिंट निकालने का सुरक्षित कमांड कौन सा है?)
(A) Start-Process C:\Samples\bad.exe -Wait
(B) Invoke-Expression (Get-Content C:\Samples\bad.exe)
(C) regsvr32 C:\Samples\bad.exe
(D) Get-FileHash -Path C:\Samples\bad.exe -Algorithm SHA256
Correct Answer: (D)
[EN] `Get-FileHash` reads raw file bytes purely for hashing without triggering PE execution, whereas `Start-Process` or `regsvr32` would detonate the sample.
[HI] `Get-FileHash` बिना फाइल को रन किए उसका सुरक्षित SHA-256 हैश निकालता है, जबकि `Start-Process` या `regsvr32` मैलवेयर को सक्रिय कर देगा।
Q15. What does 'Heuristic Analysis' in an antivirus engine look for when encountering a brand-new malware sample with no known hash signature?
(जब एंटीवायरस इंजन को बिना किसी ज्ञात हैश सिग्नेचर वाला बिल्कुल नया मैलवेयर मिलता है, तो 'ह्यूरिस्टिक विश्लेषण' (Heuristic Analysis) क्या जांचता है?)
(A) Whether the user's desktop wallpaper uses PNG or BMP format
(B) Suspicious code traits, section permissions (WX), packing entropy, and risky API combinations
(C) Whether the CPU fan RPM exceeds 3000 revolutions per minute
(D) Whether the file name contains lowercase English vowels
Correct Answer: (B)
[EN] Static and dynamic heuristics score structural anomalies—like writable-and-executable PE sections or obfuscated loops—to flag zero-day threats.
[HI] ह्यूरिस्टिक विश्लेषण संदिग्ध कोड पैटर्न, Writable+Executable सेक्शन, उच्च एन्ट्रॉपी और खतरनाक API संयोजनों को देखकर नए मैलवेयर को पहचानता है।
Q16. In malware terminology, what distinguishes a 'Downloader' from a 'Dropper'?
(मैलवेयर शब्दावली में 'डाउनलोडर' (Downloader) और 'ड्रॉपर' (Dropper) के बीच क्या अंतर है?)
(A) A Downloader requires an optical DVD drive to operate
(B) A Downloader fetches secondary payloads over the network from a remote URL, while a Dropper unpacks a payload embedded inside itself
(C) A Downloader only runs on Linux servers while a Dropper runs only on macOS
(D) A Downloader encrypts the MBR while a Dropper cleans browser history
Correct Answer: (B)
[EN] Downloaders minimize initial binary size by pulling payloads from C2 HTTP/HTTPS servers; Droppers carry payloads embedded locally.
[HI] डाउनलोडर रिमोट सर्वर या URL से मुख्य पेलोड डाउनलोड करता है, जबकि ड्रॉपर के अंदर ही मुख्य पेलोड पहले से पैक होकर आता है।
Q17. Within Computer Malware Categories: Virus, Worm, Trojan, Spyware, which malware category directly maps to: "Attaches to executable/boot sector; requires host execution"?
(Computer Malware Categories: Virus, Worm, Trojan, Spyware में कौन सा Malware Category सीधे "Attaches to executable/boot sector; requires host execution" से संबंधित है?)
(A) Computer Worm
(B) Trojan Horse
(C) Computer Virus
(D) Spyware
Correct Answer: (C)
[EN] In Computer Malware Categories: Virus, Worm, Trojan, Spyware, 'Computer Virus' handles 'Attaches to executable/boot sector; requires host execution' (Host-dependent; cannot spread alone).
[HI] Computer Malware Categories: Virus, Worm, Trojan, Spyware में 'Computer Virus' का कार्य/विवरण 'Attaches to executable/boot sector; requires host execution' (Host-dependent; cannot spread alone) है।
Q18. Which option accurately describes 'Computer Worm' in Computer Malware Categories: Virus, Worm, Trojan, Spyware?
(Computer Malware Categories: Virus, Worm, Trojan, Spyware के संदर्भ में 'Computer Worm' की सही विशेषता कौन सी है?)
(A) Masquerades as benign software; social-engineered execution
(B) Standalone binary; exploits network services autonomously
(C) Attaches to executable/boot sector; requires host execution
(D) Covertly collects keystrokes, credentials, and telemetry
Correct Answer: (B)
[EN] 'Computer Worm' provides 'Standalone binary; exploits network services autonomously' — key point: Self-propagating over LAN/WAN.
[HI] 'Computer Worm' का मुख्य विवरण 'Standalone binary; exploits network services autonomously' है (Self-propagating over LAN/WAN)।
Q19. In Computer Malware Categories: Virus, Worm, Trojan, Spyware, identify the correct parameter for the specification: "Masquerades as benign software; social-engineered execution".
(Computer Malware Categories: Virus, Worm, Trojan, Spyware में "Masquerades as benign software; social-engineered execution" विवरण किस विकल्प के लिए सही है?)
(A) Spyware
(B) Computer Virus
(C) Computer Worm
(D) Trojan Horse
Correct Answer: (D)
[EN] 'Trojan Horse' corresponds to 'Masquerades as benign software; social-engineered execution' (No self-replication mechanism).
[HI] 'Trojan Horse' का संबंध 'Masquerades as benign software; social-engineered execution' (No self-replication mechanism) से है।
Q20. Considering Computer Malware Categories: Virus, Worm, Trojan, Spyware, what key behavior defines 'Spyware'?
(Computer Malware Categories: Virus, Worm, Trojan, Spyware में 'Spyware' की मुख्य भूमिका या मान क्या है?)
(A) Attaches to executable/boot sector; requires host execution
(B) Standalone binary; exploits network services autonomously
(C) Masquerades as benign software; social-engineered execution
(D) Covertly collects keystrokes, credentials, and telemetry
Correct Answer: (D)
[EN] 'Spyware' represents 'Covertly collects keystrokes, credentials, and telemetry' (Stealth surveillance & exfiltration).
[HI] 'Spyware' का अर्थ/मान 'Covertly collects keystrokes, credentials, and telemetry' है (Stealth surveillance & exfiltration)।
Computer Malware Categories: Virus, Worm, Trojan, Spyware — Exam FAQs
Q1: Why can a Trojan still infect a patched computer even when no network vulnerability exists?
किसी नेटवर्क कमजोरी के न होने और सिस्टम पूरी तरह अपडेट होने पर भी ट्रोजन कंप्यूटर को कैसे संक्रमित कर सकता है?
[EN] Unlike network worms that exploit unpatched software bugs, Trojans rely on human deception—such as fake installers, cracked software, or malicious email attachments—to persuade an authorized user to run the payload voluntarily.
[HI] नेटवर्क वॉर्म के विपरीत, ट्रोजन किसी सॉफ्टवेयर बग पर निर्भर नहीं रहता; वह नकली सॉफ्टवेयर इंस्टॉलर, क्रैक या भ्रामक ईमेल के जरिए उपयोगकर्ता को स्वयं फाइल चलाने के लिए प्रेरित करता है।
Q2: What is the difference between Static Malware Analysis and Dynamic Malware Analysis?
स्टैटिक मैलवेयर विश्लेषण (Static Analysis) और डायनामिक मैलवेयर विश्लेषण (Dynamic Analysis) में क्या अंतर है?
[EN] Static analysis inspects the binary without executing it—checking hashes, strings, PE headers, imports, and disassembled code—while Dynamic analysis executes the sample inside an isolated sandbox or debugger to monitor real-time process creation, file/registry writes, and network C2 traffic.
[HI] स्टैटिक विश्लेषण में बिना फाइल को चलाए उसके हैश, स्ट्रिंग्स, PE हेडर और कोड की जांच की जाती है, जबकि डायनामिक विश्लेषण में उसे आइसोलेटेड सैंडबॉक्स में चलाकर प्रोसेस, रजिस्ट्री बदलाव और नेटवर्क कनेक्शन देखे जाते हैं।
Q3: How does Windows Defender / EDR catch fileless PowerShell malware that never writes an `.exe` to disk?
विंडोज डिफेंडर या EDR ऐसे फाइललेस PowerShell मैलवेयर को कैसे पकड़ते हैं जो डिस्क पर कोई `.exe` नहीं बनाते?
[EN] They leverage AMSI (Antimalware Scan Interface) hooks inside `powershell.exe` alongside Script Block Logging (Event ID 4104) and behavioral memory scanning to inspect de-obfuscated commands and suspicious API allocations directly in RAM.
[HI] वे AMSI (Antimalware Scan Interface), PowerShell Script Block Logging (Event ID 4104) और मेमोरी स्कैनिंग का उपयोग करके RAM में डिकोड होने वाले कमांड और संदिग्ध गतिविधि को तुरंत पकड़ लेते हैं।
Post a Comment
Post a Comment