公安部2000年4月26日发布的《计算机病毒防治管理办法》第二条规定：“本办法所称的计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。”也就是说，病毒是需要具备三个要件的编制或者在计算机程序中插入的一组计算机指令或者程序代码，三个要件分别是：破坏计算机功能或者毁坏数据，影响计算机使用，能自我复制。那么，从这个定义看，至少木马不能符合其中的两个重要条件：影响计算机使用，能自我复制。尤其是能够自我复制，经常被用来作为判断病毒的主要指标，而在这一点上，木马显然与病毒有着根本的差别。也就是说，目前我国关于病毒防治的所有法律规定基本都是不能适用于木马的。

接下来，我们还能在现有法律法规中找到的两个可能相关的概念分别是《计算机信息系统安全保护条例》第二十三条中的“有害数据”和公安部《计算机信息网络国际联网安全保护管理办法》第六条提到的“破坏性程序”。

对于“有害数据”，公安部在《关于对〈中华人民共和国计算机信息系统安全保护条例〉中涉及的“有害数据”问题的批复》（1996年5月9日）中将 “有害数据”解释为：“指计算机信息系统及其存储介质中存在、出现的，以计算机程序、图象、文字、声音等多种形式表示的，含有攻击人民民主专政、社会主义制度，攻击党和国家领导人，破坏民族团结等危害国家安全内容的信息；含有宣扬封建迷信、淫秽色情、凶杀、教唆犯罪等危害社会治安秩序内容的信息，以及危害计算机信息系统运行和功能发挥，应用软件、数据可靠性、完整性和保密性，用于违法活动的计算机程序（含计算机病毒）。”从这个定义看，与木马有关联的似乎只有“危害应用软件、数据保密性”这一块，虽勉强沾边，但显然过于笼统，操作性很差。对于“破坏性程序”，由于没有找到更具体的解释，难以作出判断，但如果只是顾名思义，恐怕比“有害数据”更难适用于木马。

而其他的我国信息安全领域的重要法律法规，如《电子签名法》、《全国人大关于维护互联网安全的决定》、《计算机信息网络国际联网管理暂行规定》、《互联网安全保护技术措施规定》等，也都没有这方面的规定，只是《全国人大关于维护互联网安全的决定》提到了“利用互联网进行盗窃”这一危害财产安全的具体违法犯罪形式。不过，最后在刑法层面，我们还是能够找到原则上可以涵盖的一个很有力的条款，那就是第287条规定：“利用计算机实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密或者其他犯罪的，依照本法有关规定定罪处罚。”

不知是该庆幸还是忧虑，每当我们在按发布时间顺序整理我国与信息技术、互联网有关的法律法规时，94年2月18日国务院发布的《计算机信息系统安全保护条例》总是赫然排在第一位，96年2月1日国务院发布的《计算机信息网络国际联网管理暂行规定》也非常靠前，起步不可谓不早、法律的规格不可谓不高、重视度不可谓不够。然而当十三年后的今天，在没有更高层面的信息安全法，没有更多具有可操作的部门规章，也没有对《计算机信息系统安全保护条例》的及时修订的情况下，我们还想绞尽脑汁地试图从中找到其能够覆盖那些变化万千、一日千里的新问题的蛛丝马迹，其中的辛苦和尴尬，恐怕是非行业人士也能一目了然的了。

其次，在对“木马地下经济”的法律责任追究上，也存在不少较棘手的具体问题。一方面，由于“木马地下经济”分工细致严密，制作木马、传授技术、转卖“肉鸡”、盗号（盗信息）、卖钱（盗取钱财）等环节均由不同的人完成，而这些具体违法犯罪行为的法律适用和处罚一般是不完全一样的，即具体怎么追究“木马地下经济”的法律责任、追究什么样的人的什么样的法律责任都需要根据严格、细致的法律规定作出，不是一个法中的一个条款可以解决的，对法律认定和处理“木马地下经济”的能力提出了很高的要求。比如，其中制作木马可以比照针对制作病毒的处理方法，传授技术可以参考传授犯罪方法的处理方法，盗取钱财可以参照盗窃、金融诈骗的处理办法，而转卖“肉鸡”、盗号、盗取信息等则连可能的参照物都找不到了。另一方面，在追究责任时，除“木马地下经济”内部链条外，还会涉及到一些相关方，如发布相关广告的网站、提供违法虚拟财产交易的平台、在不知情下被“挂马”的网站等，是否要承担相应的连带责任、承担什么样的连带责任，也都需要更为具体的分析、应对。还有，木马、网络钓鱼、蠕虫、病毒等的“同流合污”与P2P从个人到个人传播方式都在不同层面使追究“木马地下经济”法律责任的难度大大增加了。