一百种流氓软件行为类型，可以从安装、广告、浏览器控制、卸载、资源占用和隐私等方面盘点。下面列出的是常见行为表现，不是软件品牌名单；同一款软件也可能同时出现多种行为。按类别查看，更容易辨认那些未经清楚告知、擅自改变设置或妨碍退出的操作。
一、捆绑与擅自安装
- 安装主程序时捆绑无关软件。
- 默认勾选额外组件，用户容易漏看。
- 把附加程序藏在“推荐安装”选项中。
- 以播放插件或解码器名义附带其他程序。
- 安装工具栏时顺带加入桌面助手。
- 主程序安装完成后，自动启动第二个安装器。
- 把多个下载组件包装在同一个安装包里。
- 升级软件时未经明确同意添加新程序。
- 通过文件分享工具捆绑推广软件。
- 安装界面不显眼地附加浏览器插件。
二、误导按钮与虚假提示
- 伪装成系统更新，诱导用户下载无关程序。
- 弹出虚假的病毒警告催促安装。
- 显示夸大的扫描结果，诱导购买清理功能。
- 把广告按钮伪装成关闭按钮。
- 将“取消”按钮设计成继续安装。
- 让广告下载按钮看起来像正式下载入口。
- 用进度条掩饰后台追加安装步骤。
- 把第三方安装条款藏在冗长协议里。
- 使用类似系统组件的名称迷惑用户。
- 采用容易与常用程序混淆的图标。
三、弹窗与广告干扰
- 启动电脑后反复弹出全屏广告。
- 在屏幕角落持续显示悬浮广告。
- 频繁推送与当前操作无关的促销窗口。
- 擅自更换桌面背景展示广告。
- 设备锁屏时显示推广内容。
- 在其他程序上方覆盖广告层。
- 未经预期地播放广告声音。
- 自动打开带广告的新标签页。
- 用户暂时不操作时突然弹出广告。
- 广告窗口没有明显、有效的关闭方式。
四、浏览器设置与访问劫持
- 未经同意更改浏览器主页。
- 擅自替换默认搜索引擎。
- 把浏览器新标签页改成推广页面。
- 访问网址时跳转到陌生站点。
- 强行安装无法轻易移除的浏览器扩展。
- 篡改输入网址后的跳转目标。
- 修改浏览器快捷方式并附加推广参数。
- 用户恢复设置后又自动改回原样。
五、后台驻留与卸载阻碍
- 开机后自动启动且不提供清楚的关闭选项。
- 通过计划任务在后台反复运行。
- 注册为难以辨认的系统服务。
- 卸载后又由残留组件重新安装。
- 后台组件互相恢复，阻止彻底退出。
- 留下开机启动项继续显示广告。
- 卸载按钮只关闭窗口，并未移除程序。
- 卸载时强制要求先安装另一款软件。
- 删除主程序后仍保留推广服务。
- 在用户尝试退出时反复弹出挽留窗口。
六、资源占用与后台活动
- 后台持续占用处理器资源。
- 长时间占用大量内存，拖慢其他程序。
- 频繁写入硬盘，造成不必要的磁盘活动。
- 未经清楚说明持续消耗网络流量。
- 把设备网络用于不明的中转活动。
- 后台上传与功能无关的文件或数据。
- 擅自利用设备资源进行虚拟资产计算。
- 在笔记本电脑上造成明显电量消耗。
- 无操作时仍播放视频或运行广告动画。
- 反复崩溃重启，占用进程并影响工作。
七、隐私数据过度收集
- 持续记录浏览历史。
- 收集用户输入的搜索词。
- 收集设备标识符并用于追踪。
- 扫描已安装软件清单并上传。
- 读取与软件功能无关的剪贴板内容。
- 未经清楚说明截取屏幕画面。
- 不必要地使用麦克风权限。
- 不必要地调用摄像头权限。
- 收集与服务无关的位置信息。
- 把超出说明范围的诊断数据传出设备。
八、擅改系统设置
- 更改系统 DNS 设置。
- 改写 hosts 文件中的访问规则。
- 擅自设置系统网络代理。
- 安装未经用户预期的根证书。
- 改变常见文件的默认打开程序。
- 改写桌面或任务栏快捷方式目标。
- 替换系统默认浏览器。
- 关闭自动更新或安全更新提醒。
- 修改防火墙规则以维持后台活动。
- 更改系统策略，限制用户管理程序。
九、干扰安全工具与系统管理
- 阻止安全软件随系统启动。
- 妨碍用户访问安全工具网站。
- 显示不准确的扫描或防护结果。
- 压制系统安全提示，降低警觉。
- 向浏览器进程注入推广代码。
- 监控键盘输入，收集不必要的信息。
- 干扰任务管理工具，增加退出难度。
- 篡改运行记录，让后台活动不易察觉。
- 擅自关闭系统还原功能。
- 阻止系统补丁或安全更新正常运行。
十、付费诱导与推广骚扰
- 频繁跳出订阅付费页面。
- 把免费试用条件写得含糊不清。
- 默认勾选周期续费选项。
- 把退出功能藏在付费提示之后。
- 用虚假的限时折扣催促付款。
- 点击优惠券后跳转到不相关的推广站点。
- 在浏览网页时擅自插入商品广告。
- 以领取奖励为由要求安装其他软件。
- 反复推送难以关闭的通知广告。
- 弹出仿冒客服窗口，引导购买无关服务。
判断一款程序是否具有明显的流氓行为，可以结合几个表现观察：是否未经同意安装或改动设置，是否持续弹窗、占用资源，以及是否妨碍退出和卸载。单个广告或自动启动功能未必足以说明问题，但多种行为同时出现，尤其是用户拒绝后仍继续运行时，就值得提高警惕。
