浏览器突然变成hiduba

打开电脑，浏览双击浏览器图标，器突地址栏里那个熟悉的然变“www.baidu.com”不见了，取而代之的浏览是“hiduba”。第一反应是器突键盘卡了？按了几下H、I、然变D、浏览U、器突B、然变A，浏览每个键都正常回弹。器突又试了Ctrl+T新开标签页，然变主页还是浏览那个词。重启浏览器，器突没用。然变重启电脑，还是没用。

这不是我一个人的遭遇。上周在技术论坛上看到有人发帖，说公司五台办公电脑集体“叛变”，Chrome和Edge的主页全被改成了hiduba。底下跟帖的人不少，有说家里老人机的UC浏览器中招的，有说学校机房电脑一开机就跳这个页面的。hiduba不是某个正规搜索引擎的域名，它更像一个流量劫持的中间站。

我花了点时间追查。在Windows系统里，浏览器主页被篡改通常有几个入口：快捷方式属性里的目标路径被加了尾巴、注册表里HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main的Start Page被改写、或者某个后台服务在每次开机时重新写入配置。我检查了自己的快捷方式，目标路径后面果然多了一串东西——"C:\Program Files\Google\Chrome\Application\chrome.exe" hxxp://www.hiduba.com/?v=1。那个“hxxp”是我故意打错的，实际是http，但域名后面跟着推广参数。

手动把尾巴删掉，保存，再打开浏览器，主页恢复正常。但第二天开机，它又回来了。说明有东西在持续监控并重写快捷方式。用Process Monitor抓了一下，发现一个叫“UpdateService”的进程每隔几分钟就扫描一次桌面和开始菜单的快捷方式，发现目标路径里没有hiduba就立刻改回去。这个进程的文件签名是一家早就注销的公司，数字签名过期三年了。

把进程结束掉，删掉对应的计划任务，再清理注册表里几处残留项。重启之后，浏览器终于消停了。整个过程不算复杂，但对不懂技术的人来说，看到浏览器突然变成hiduba，第一反应往往是“中毒了”，然后去下载各种杀毒软件，结果可能装进来更多乱七八糟的东西。

我留意到一个细节：hiduba这个域名注册时间很短，服务器IP在境外，页面本身不挂马，只做搜索跳转。你输入关键词，它把请求转发给真正的搜索引擎，然后在结果页里插入自己的推广链接。这种模式比直接锁死主页更隐蔽，用户可能用了一两周都没意识到自己搜出来的东西被人抽过成。

更让人不舒服的是，这类劫持往往来自你主动安装的某个“免费工具”。我回溯了一下自己的操作记录，三天前装了一个PDF转换器，安装界面里有个默认勾选的“设置hiduba为首页以提升上网体验”，字号小得几乎看不见。取消勾选需要点开一个折叠的“自定义安装”选项。这种设计不是疏忽，是故意的。

浏览器主页被改，技术上叫“主页劫持”，但hiduba这个案例让我觉得叫“主页寄生”更贴切。它不破坏系统，不弹窗，不偷密码，只是安静地待在那里，每次你打开浏览器，它就替你决定第一眼看到什么。你搜“hiduba怎么删除”，它把结果页里的第一条广告位卖给某个“浏览器修复大师”，那个软件装完会再给你换一个主页。循环往复。

我现在养成了一个习惯：装任何国产免费软件之前，先断网，装完检查快捷方式和计划任务。听起来有点神经质，但比某天早上打开浏览器发现又变成hiduba要好。那个词本身没什么意义，拼出来像是“hi，duba”的变体，但每次看到它，我都觉得有人在暗处笑。