内容摘要：2023年秋天，我帮一个朋友清理他的Windows笔记本。开机三分钟，桌面弹出六个广告窗口，浏览器主页被改成某导航站，任务栏里多了一个从未安装过的“高速下载器”。他一脸茫然：“我就下了一个PDF转换器

2023年秋天，黑客我帮一个朋友清理他的软件入侵软件Windows笔记本。开机三分钟，下载桌面弹出六个广告窗口，黑客浏览器主页被改成某导航站，软件入侵软件任务栏里多了一个从未安装过的下载“高速下载器”。他一脸茫然：“我就下了一个PDF转换器，黑客从百度搜的软件入侵软件，排第一的下载那个。”

那个“排第一”的黑客链接，就是软件入侵软件问题所在。搜索引擎的下载竞价排名机制，让伪装成正规软件的黑客捆绑安装包长期占据前列。你点进去，软件入侵软件页面做得和官网几乎一样，下载下载按钮硕大醒目，但文件大小只有2MB——正版安装包通常几十MB起步。安装时默认勾选“同意安装XX全家桶”，取消勾选的选项藏在灰色小字里。装完，PDF转换器能用，但后台多了三个常驻进程，一个负责弹广告，一个负责改浏览器设置，还有一个定时从远程服务器拉取新“配置”。

这还算温和的。更狠的是直接植入木马。2022年国内某安全团队披露过一个案例：一个下载量超过十万的“屏幕录制工具”，安装包里夹带了远程控制模块。攻击者能开启摄像头、记录键盘输入、上传本地文件。受害者包括几个小型企业的财务人员，网银凭证就是这么丢的。这个软件在多个下载站挂了近半年才被下架。

下载站的审核机制基本形同虚设。很多站点采用“用户上传+自动审核”模式，机器只检查文件扩展名和基本格式，不分析行为。上传者换个哈希值就能绕过黑名单。有些下载站甚至主动和捆绑推广联盟合作，按安装量分成。一个热门软件的“破解版”或“绿色版”，背后可能是完整的灰色产业链。

手机端也没好到哪去。安卓的第三方应用市场里，“清理大师”“电池管家”这类工具是重灾区。它们申请几十项权限，读取通讯录、短信、位置信息，然后打包卖给数据公司。iOS相对封闭，但TestFlight和描述文件分发渠道也被滥用过。去年有个“企业签名”的健身App，安装后要求输入Apple ID密码，界面做得和系统弹窗一模一样。

普通人怎么防？我的习惯是：只从官网或GitHub Releases下载。如果官网难找，就去微软商店或Mac App Store。Windows上装个火绒或者Defender，安装时盯着点自定义选项。安卓用户尽量用Google Play，国内可以用酷安但也要看评论区和开发者历史。还有一个笨办法但有效：下载前搜“软件名+流氓”或“软件名+捆绑”，看看有没有人骂。

说回我朋友那台电脑。我用Process Explorer找到那个弹广告的进程，定位到安装目录，发现它每隔十分钟访问一个.ru域名。断网后广告消失。删掉目录，清理注册表残留，再改回浏览器主页。前后花了四十分钟。他问我：“为什么没人管？”我说有人管，但管不过来。新变种每天冒出来，下载站换个域名就能重新开张。最终只能靠自己多留个心眼——毕竟点“下一步”的那一下，是你自己按的。