上个月，木段我帮朋友清理一台“变慢”的马伪电脑，任务管理器里有个叫“svch0st.exe”的装手进程，占着CPU不放。木段杀毒软件没报，马伪但那个“0”出卖了它——正版系统进程是装手“svchost.exe”，字母o，木段不是马伪数字0。这就是装手木马最原始的伪装：骗过眼睛，比骗过杀毒软件容易得多。木段

木马这行当，马伪本质是装手“信任诈骗”。他们最常用的木段招数，就是马伪给恶意文件起一个“正经名字”。比如把exe改成“公司年度报表.exe”，装手或者更狠一点，用双扩展名——“照片.jpg.exe”。Windows默认隐藏已知文件类型的扩展名，双击后你以为在看图，其实已经在跑代码。这类招数老套，但至今有效，因为人的习惯改不了。

还有一种更隐蔽的，叫“DLL劫持”。正经软件启动时会加载一堆动态链接库文件，木马把自己伪装成其中某个库的名字，塞进同目录。程序找不到原版，就乖乖加载了木马。我见过一个案例，某款国产聊天软件被植入后门，木马文件叫“version.dll”，只有几百KB，混在一堆几十MB的合法文件里，不仔细看根本发现不了。这招的高明之处在于——你什么都没做错，只是正常打开了个软件，就中招了。

文件伪装只是入门，高级的玩“进程伪装”。有些木马会把自己注入到系统自带的进程里，比如explorer.exe或者chrome.exe。任务管理器里看着一切正常，实际上那个进程的内存里跑着别人的代码。更绝的是“白加黑”攻击——利用正规软件的数字签名，把恶意代码加载进有签名的可信程序里。安全软件一看签名是合法的，直接放行。这种木马，普通用户基本无解，只能靠行为检测。

网络流量层面也有花样。有些木马用HTTP协议通信，伪装成网页浏览数据。你看着流量监控里全是访问百度、淘宝的记录，其实其中混着给黑客发指令的数据包。它们还会用“域前置”技术——连接的是正规网站，但数据实际发往黑客服务器，就像穿着快递员制服送炸弹。

最让我觉得离谱的是“图标伪装”。木马作者能把exe的图标换成PDF、Word或者文件夹的样子。双击后弹个“文件已损坏”的假警告，你以为没打开，其实木马已经装好了。这种招数专骗那些“只看图标不看扩展名”的人，而且成功率不低。

说到底，木马伪装的核心就两个字：像真。越像日常文件、正常进程、合法软件，就越难被察觉。别指望杀毒软件能挡住所有——它们不是万能的。真正有效的办法是反人性的：不下载来路不明的文件，不双击邮件里的附件，保持系统更新。但我知道，说了也白说，该中的还是会中。就像我那个朋友，清理完不到两周，又因为下载“破解版PS”中了一次。人类的侥幸心理，才是木马最好的伪装。

(责任编辑：百科)