CF（穿越火线）的被盗盗号模型程序V0013603，在圈内被称为“小钢炮”，模型因为它短小精悍，程序专门针对老版本客户端的被盗内存校验机制。这东西不是模型普通的键盘记录器，它直接注入游戏进程，程序在登录验证的被盗瞬间截取加密后的账号密码数据包，然后通过自带的模型解密模块还原成明文。我见过一个被它盗走的程序账号，装备价值超过两万，被盗号主在异地登录提示弹出后的模型三分钟内，仓库里的程序火麒麟、雷神、被盗天龙全部被转移到了一个小号上。模型

这套程序的程序厉害之处在于它的“时间差攻击”。它不会在你登录时立刻发作，而是潜伏在系统后台，等你进入游戏对局后，再模拟一次“掉线重连”请求。这时候客户端会重新发送一次验证信息，程序就在这次握手过程中把数据抄走。很多玩家遇到突然卡顿或者掉线，以为只是网络波动，实际上数据已经被截胡了。我有个朋友在网吧通宵，半夜三点整准时掉线，重启游戏后号就空了，连密保手机都被改掉。

V0013603的传播渠道很脏，主要藏在所谓的“透视自瞄辅助”压缩包里。下载者解压运行所谓的“启动器”，实际上是把盗号程序当作服务项注册进系统。更恶心的是，它自带反检测功能——会检测杀毒软件的进程名，一旦发现360或者火绒，就暂停运行，等安全软件扫描完再继续干活。我拆解过它的代码，里面有一段注释写着“别碰小学生，他们没油水”，说明作者专门筛选高价值账号。

这种程序的作者通常不会亲自下场盗号，而是把盗来的数据打包卖给“洗号工作室”。一个包含账号密码和二级密码的完整数据包，在黑市能卖到八到十五块。量大从优，一千条起批。买家登录后第一件事是检查点券和仓库，然后通过拍卖行低价转移装备，整个过程不到十分钟。等号主发现异常去申诉，装备早就在不同账号间转手五六次了，腾讯的找回系统根本追不回来。

有意思的是，V0013603的代码结构里有个明显的错误——它的内存清理模块在Windows 10 1903版本以上会失效，导致盗号进程残留在系统里。很多受害者重装游戏后，发现电脑每隔几分钟就弹出一次“客户端崩溃”的报错，其实就是这个残留进程在反复尝试注入新的游戏进程。我见过一个案例，受害者电脑里这个残留进程存活了四个月，期间每次登录CF都卡在加载界面，直到他重装系统才解决。

对付这东西，老玩家有土办法：登录前先用任务管理器结束掉所有带“svchost”字样的可疑进程，再断网输入账号密码，等进入游戏大厅再联网。这招虽然麻烦，但确实能绕过大多数注入型盗号程序。官方那边目前只更新了文件校验库，对这种动态注入的模型程序还是慢半拍。说到底，只要还有人贪便宜用外挂，V0013603这种程序就有生存空间。