2023年秋天，黑客一个叫“小马激活工具”的入侵软件软件在各大下载站被挂上了马。不是下载原版作者干的，是黑客有人把安装包拆开，塞进了一段加密的入侵软件PowerShell脚本，再重新打包上传。下载用户下载、黑客双击、入侵软件下一步下一步，下载屏幕上看不出任何异常。黑客三天后，入侵软件浏览器主页被锁死，下载杀毒软件被卸载，黑客桌面多出六个“传奇私服”快捷方式。入侵软件这不是下载孤例。国内某知名软件下载站的编辑私下跟我说，他们后台每天能扫出二十到三十个被二次打包的安装程序，热门工具类软件是重灾区。

下载站本身往往不知情。大部分中小下载站靠广告联盟活着，上传通道审核极松。一个注册三天的账号，传一个“XX加速器破解版”，只要文件名和图标对得上，基本秒过。审核？最多跑一遍VirusTotal，而那个平台的引擎对新型混淆脚本的检出率，说实话，跟抛硬币差不多。我试过把一段加了花指令的恶意代码塞进一个正常安装包里，VT上62个引擎只有7个报毒。那7个里还有4个是同一个引擎的OEM。

更麻烦的是“白加黑”手法。攻击者不直接放病毒，而是利用正规软件的DLL劫持漏洞。比如某款老牌PDF阅读器，安装目录下有个叫`update.dll`的文件，正常情况它去加载系统目录下的同名文件。攻击者把这个DLL放在安装包根目录，用户一安装，恶意代码就跟着阅读器的主进程跑起来了。任务管理器里看，进程名是合法的，签名也是合法的，防火墙弹窗？不存在的。这种手法在游戏外挂、设计插件、驱动精灵类软件里特别常见。我拆过一个“鲁大师去广告版”，安装包里藏了三个DLL，其中一个会定时从`api[.]windowsupdate[.]xyz`拉取指令，那个域名注册在俄罗斯，服务器在荷兰。

普通用户怎么判断？说实话，很难。看数字签名？很多恶意安装包用的是过期或盗用的证书，但Windows默认不提示。看文件大小？一个正常15MB的工具被塞到23MB，你会注意吗？我的习惯是，凡是下载站给的“高速下载器”，一律不碰。那玩意儿本质是个下载器套壳，安装时勾选一堆“全家桶”还算轻的，重则直接释放勒索病毒。去年有个叫“XX软件管家”的下载器，把用户电脑当矿机挖了半个月门罗币，直到有人发现风扇狂转才曝光。

真正有效的防线其实很土。第一，去官网。哪怕官网界面丑得像2005年的，也比第三方站安全。第二，看哈希。很多开源软件在GitHub release页面会贴SHA256，下载完用`certutil -hashfile 文件名 SHA256`对一下，对不上直接删。第三，虚拟机跑一遍。我用VMware装了个干净的Win10，专门用来试那些不得不从第三方站下的东西。跑完看进程、看启动项、看网络连接。有次一个“屏幕录制专家”安装后悄悄连了`103.94.185.0/24`这个段，一查，越南的IP，专门做远控。

下载站这生意本身就在萎缩。广告收入养不活审核团队，用户又不愿意付费。结果就是劣币驱逐良币——认真做审核的站活不下去，闭眼放行的站靠流氓推广赚得盆满钵满。你骂下载站没良心，站长可能回你一句“我也要吃饭”。这事短期内无解。能做的，就是把自己那台机器管好。别信“破解版”“绿色版”“去广告版”，这三个词现在基本等于“来，往我电脑里种点东西”。