进入挂马网站

我点开那个链接的进入时候，浏览器地址栏闪了一下，挂马然后整个页面像被人从中间撕开，网站弹出一排“澳门线上赌场”的进入浮窗。鼠标还没移到关闭按钮，挂马右下角又钻出个穿比基尼的网站动画，配着电子合成音：“恭喜您成为第8888位幸运访客！进入”

这破站我本来不该点的挂马。同事老周在群里甩了条“内部资料”的网站压缩包，说解压密码是进入网址。我扫了眼域名——一串乱码加.xyz，挂马后缀前面还挂着“vip-2024”。网站经验告诉我这玩意儿九成是进入坑，但那天下午实在闲得慌，挂马加上老周平时挺靠谱，网站就顺手粘进了浏览器。

页面加载出来是个空白文档界面，顶部一行小字：“正在验证您的浏览器环境，请稍候。”下面有个旋转的圈。转了大概五秒，圈没了，取而代之的是满屏飘红的“您的电脑已中病毒！立即拨打400-xxx-xxxx”。字体是加粗的宋体，还带闪烁效果，跟早年那种吓唬人的弹窗广告一个德行。

我没打那个电话。把鼠标往右上角挪，发现关闭按钮是假的——点下去又弹出一个新窗口，标题栏写着“Windows安全中心”。这招够损的，模仿系统界面骗人。我按了Ctrl+Alt+Del调出任务管理器，浏览器进程的CPU占用飙到90%以上。后台肯定在跑什么脚本。

断网。拔网线那一下，风扇声明显小了。再打开浏览器，首页被改成了个导航站，密密麻麻全是“美女直播”“彩票代购”的链接。收藏夹里多了几个书签，名字起得挺正经，叫“工作资料”“学习文档”，点进去全是赌博网站。这挂马的手法不算新鲜，但胜在粗暴——直接改你浏览器配置，连伪装都懒得做。

我后来拿虚拟机重新跑了一遍那个网址。用Wireshark抓包，发现页面加载时往三个不同的IP发了请求，其中一个在俄罗斯，一个在香港，还有个解析出来是荷兰的。请求内容里夹着一段Base64编码的脚本，解码后是个iframe，宽高都是0，肉眼看不见。它干的事就一件：从远程服务器下载一个.exe文件，存到临时目录，然后写注册表启动项。文件名伪装成svchost.exe，放在C:\Users\你的用户名\AppData\Local\Temp下面。普通用户根本不会去翻那个文件夹。

有意思的是，那个.exe在VirusTotal上的检出率只有17/72。大部分引擎报的是“Riskware”或者“PUA”，不是直接判死刑。这说明它做了免杀处理，可能加了壳，或者用了什么冷门的编译方式。我看了眼数字签名——空的。但文件属性里写着“Microsoft Corporation”，版本号还编了个10.0.19041.1，跟正版系统文件一模一样。这招骗过了不少只看属性的用户。

老周后来跟我说，他那台电脑中了招，桌面多了个“极速清理”的图标，点一下就要付费激活。他老婆用电脑追剧，弹窗关不掉，气得直接拔了电源。我问他那个压缩包哪来的，他说是某个技术论坛的附件，楼主发帖说“分享一个自用的爬虫工具”。帖子下面还有十几个人回复“感谢分享”“楼主好人”。

挂马网站这东西，说白了就是利用人的两个弱点：贪便宜和怕出事。要么给你个“免费资源”，要么吓你“系统中毒”。我见过最绝的一个，页面做得跟Chrome的“无法访问此网站”一模一样，就是下面多了行小字：“点击此处修复网络问题”。点下去就下载个.scr屏保文件。屏保能干嘛？能执行代码。这思路跟早年那种“图片其实是.exe”的套路一脉相承，换了个皮而已。

现在我看到.xyz、.top、.club这类域名，基本直接拉黑。不是歧视后缀，是这些便宜域名注册商审核松，批量注册成本低，打完一枪换个地方。正经网站谁用.xyz做主力域名？当然也有例外，但概率摆在那。另外，浏览器装个uBlock Origin，能挡掉九成以上的恶意弹窗。别用那些国产“安全浏览器”，它们自己就是弹窗大户。

那天下午我最后干的事，是把那个网址提交给了Google Safe Browsing。三天后收到邮件，说已确认包含恶意软件，会在Chrome里标记。但我知道，那个域名早换了。新的.xyz正在某个群里传播，配文是：“内部资料，速取。”

本文地址：http://www.79wt.cn/news/682d9599222.html