内容摘要：点开那个链接不到十秒，手机就开始发烫。这不是夸张，是我上周的真实经历。一个号称提供“免费PDF转换”的网站，域名拼写故意把“convert”写成“convent”，页面设计粗糙得像2005年的个人主页

点开那个链接不到十秒，该网手机就开始发烫。站疑这不是似传夸张，是播木我上周的真实经历。一个号称提供“免费PDF转换”的该网网站，域名拼写故意把“convert”写成“convent”，站疑页面设计粗糙得像2005年的似传个人主页。我随手传了个测试文档，播木没等到转换结果，该网浏览器先弹出了下载提示——一个名为“pdf_tool_setup.exe”的站疑文件，大小只有47KB。似传

这体量不对劲。播木正常的该网PDF工具安装包至少几MB，47KB能装什么？站疑我立刻断网，用虚拟机打开那个exe。似传进程监控显示，它第一件事是往系统临时目录释放三个dll文件，然后修改注册表启动项，路径指向一个俄罗斯的IP。更蹊跷的是，它同时尝试读取浏览器cookie数据库——Chrome的Login Data和Cookies文件都被锁定。

这类网站最近扎堆出现。我追踪了十几个类似域名，发现它们共用同一套模板：顶部是伪装的“文件上传”按钮，下面堆砌“高速转换”“无需注册”等诱导文字。真正的陷阱藏在JavaScript里。有一段混淆过的代码，功能是检测用户是否安装了广告拦截插件。如果没装，页面会延迟15秒再加载真正的木马下载脚本；如果装了，它干脆不触发，避免被安全软件抓现行。

有个细节让我后背发凉。这些网站会记录用户的IP和User-Agent，然后根据操作系统版本下发不同的载荷。Windows 10用户拿到的是窃取密码的Lumma Stealer变种，Windows 7用户则收到一个老旧的键盘记录器。macOS用户也没被放过——伪装成“PDF转换助手”的dmg文件，实际是AMOS木马的仿冒品，专门偷加密货币钱包。

我联系了一位做渗透测试的朋友。他拆解了其中一个样本，发现木马会主动连接C2服务器，上传的数据包里包含浏览器保存的所有密码、Discord令牌、甚至Steam的ssfn文件。他说：“这帮人很懂心理。转换失败时，页面会提示‘请下载修复工具’，那个工具才是真木马。用户以为自己解决了问题，其实是亲手把后门装进了电脑。”

更麻烦的是传播渠道。这些网站大量出现在短视频平台的评论区，用“这个网站能免费转PDF”的话术引流。有人点进去，发现确实能转——但转换后的文件会被插入恶意宏。你转发给同事，同事打开，整个局域网都可能沦陷。我测试时故意传了一个带宏的doc文件，网站“转换”后返回的PDF里，嵌了一个指向恶意脚本的链接，伪装成“文件来源验证”。

怎么判断一个在线工具站是否可疑？看它是否强制要求下载客户端。正规的PDF转换，浏览器端就能完成大部分操作。如果它反复弹窗让你“安装插件”或“升级驱动”，直接关掉。另一个信号是域名注册时间——这些木马站的平均存活周期只有11天，注册商多在NameCheap，付款方式用加密货币。你查whois，隐私保护全开，注册邮箱是随机字符串。

我最后没中招，因为虚拟机救了我。但那个47KB的exe至今躺在我硬盘的隔离区。每次看到有人分享“免费在线工具”的链接，我都会想起它释放dll时硬盘灯狂闪的样子。互联网上免费的东西，代价往往藏在你看不见的地方。下次想转PDF，用系统自带的打印功能，或者装个开源软件。别让一个“convent”偷走你的密码。