木马伪装手段

你双击了一个“发票.pdf.exe”文件，电脑风扇突然狂转，伪装鼠标自己动了起来。手段这不是木马灵异事件——你刚放进去了一匹特洛伊木马。木马这名字起得精准，伪装希腊人打特洛伊城靠的手段就是藏在木马肚子里的士兵，而恶意软件想进你的木马系统，靠的伪装也是把自己打扮成人畜无害的样子。伪装，手段从来就是木马木马的第一生产力。

最老套但依然有效的伪装招数是双扩展名。Windows默认隐藏已知文件扩展名，手段这给了攻击者巨大的木马发挥空间。一个叫“季度报表.pdf”的伪装文件，真实名字可能是手段“季度报表.pdf.exe”。你看到的是PDF图标，系统执行的是exe。我见过一个真实案例，某公司财务收到“供应商对账单.doc.scr”，scr是屏幕保护程序，本质还是可执行文件。双击之后，屏幕保护启动，同时木马在后台下载了键盘记录器。等财务发现账户异动，已经过去三天了。

文件图标也能造假。你随便找个资源编辑工具，把exe的图标替换成Word、Excel、甚至文件夹的样子。一个叫“新建文件夹.exe”的东西，图标跟真文件夹一模一样，放在桌面上一堆文件里，谁能一眼看出来？更损的是，有些木马会把自身图标改成PDF，然后文件名用Unicode控制字符把后面的“.exe”在视觉上“吃掉”——你看到的文件名就是“合同.pdf”，干净得很。

还有一种玩法叫捆绑。你从某下载站搞了个“破解版Photoshop”，安装包看着正常，装完PS也能用。但安装程序在后台悄悄释放了一个svchost.exe到系统目录——名字跟系统进程一模一样，路径却不对。真正的svchost在System32，这个在Temp文件夹里。任务管理器里一眼扫过去，两个svchost，普通人根本不会怀疑。这匹木马就靠这层“名字伪装”长期驻留，每半小时往C2服务器发一次心跳包。

文档类木马更隐蔽。一个Word文档，打开后弹出一行字：“此文档由高版本Office创建，请启用宏以查看完整内容。”你点了“启用内容”，宏代码开始运行——下载一个PowerShell脚本，脚本再拉一个远控木马。整个过程你只看到文档正常打开了，内容也没少。这类攻击在2017年前后泛滥成灾，很多企业内网被撕开口子，就是从一封“启用宏”的邮件附件开始的。

快捷方式（.lnk）也能当枪使。一个看似指向“D盘备份”的快捷方式，目标路径里藏着一长串命令。图标是文件夹，名字叫“重要资料”，双击之后先启动cmd执行恶意脚本，再打开真正的D盘目录。你看到文件夹开了，以为没事，其实木马已经落地了。这种手法在U盘传播里特别常见——你插上U盘，看到几个文件夹，点进去，中招。

数字签名伪造是更高阶的玩法。有些木马会盗用合法公司的代码签名证书，或者用泄露的证书给恶意驱动签名。Windows看到签名有效，SmartScreen不拦截，杀软也可能放行。2010年Stuxnet就是用了Realtek和JMicron的合法数字证书，让驱动在内核里跑了好几年没被发现。签名这东西，本来是用来验真的，结果成了木马的通行证。

说个我自己的观察。现在很多木马反而不急着伪装成“正常文件”了，它们伪装成正常行为。比如伪装成Chrome的更新程序，后台下载payload；伪装成Windows Defender的扫描任务，定时回连C2。你打开任务管理器，看到“GoogleUpdate.exe”在跑，CPU占用也不高，谁会去查它的数字签名和文件路径？这种“行为伪装”比“文件伪装”难查得多，因为它利用的是你对系统日常活动的信任。

木马伪装的核心逻辑就一条：让你觉得它不该被怀疑。文件名、图标、签名、路径、进程名、网络行为——任何一个环节看起来“正常”，你就可能放行。而攻击者只需要找到一个你懒得细看的点。所以下次双击任何可执行文件之前，多问一句：这东西真的该在这儿吗？

顺带一提，如果你用的是Windows，把“文件扩展名”显示出来。就这一条，能挡掉三成以上的低级木马。别嫌文件名后面多个后缀难看，难看总比被控强。