上周三深夜，感染我点开一个号称能“免费看全网VIP电影”的木马网站。页面弹出一堆花花绿绿的病毒小广告，我习惯性点掉，感染却感觉鼠标卡了一下。木马第二天，病毒我的感染微信开始自动给好友发各种博彩广告链接。

这网站就是木马个典型的中毒入口——它本身不一定带毒，但上面的病毒广告位，全是感染木马的“跳板”。黑客花钱买这些流量，木马把恶意代码藏在弹窗、病毒下载按钮甚至视频播放器里。感染你只要点一下，木马哪怕只是病毒鼠标悬停，都可能触发下载。

我检查了电脑，杀毒软件扫出三个木马文件，藏在系统临时文件夹里，名字叫“setup.exe”和“photo_2024.exe”，伪装成安装程序和图片。它们没动我的文件，只干两件事：盗取浏览器保存的密码，然后控制我的微信网页版。

这种木马网站，技术上分三层。最外层是“诱导页面”，用色情、盗版影视、免费软件做诱饵。中间层是“流量跳转”，你点任何按钮，都会被转到十几个不同的广告服务器，每个服务器都有可能下发恶意脚本。最内层是“载荷”，也就是真正的木马程序，通常用脚本加密，杀毒软件很难实时查杀。

有个细节我印象很深——那网站居然有“安全检测”标识，绿锁头，写着“已通过XX认证”。后来才知道，那是黑客自己画的假图标，放在页面角落，专门骗人。真实的安全检测，要看你浏览器地址栏的证书信息，而不是页面上的图片。

更阴险的是，这种网站会用“时间差”战术。白天访问，页面干干净净，晚上十点后，才激活木马脚本。因为晚上人少，安全厂商的监测频率也低，中招的人往往第二天才察觉，但木马早就把数据传走了。

我朋友就没这么幸运。他中了同款木马，半小时内，银行卡被分四笔转走八千块。木马直接调起他电脑上的网银客户端，用他记住的密码登录，再通过短信拦截功能截走验证码。整个过程，他手机没收到任何提示，因为短信被木马后台转发到了黑客的手机上。

所以，识别这种网站其实有迹可循。真正正规的网站，不会把下载链接藏在一堆闪烁的按钮后面。你要找的“下载”按钮，往往被设计得特别醒目，周围还围着“高速下载”“安全下载”的假按钮，那些全是木马入口。真按钮反而很小，藏在页面底部。

我后来用系统自带的网络监测工具查了那台电脑，发现木马在后台持续连接一个俄罗斯IP地址，每隔三分钟发送一次数据包。断网后，木马会进入“休眠模式”，等网络恢复再继续干活。这种设计就是为了躲过那些只扫本地文件的杀毒软件。

现在我的浏览器装了个脚本拦截插件，专门挡那些自动跳转的广告代码。但说实话，最管用的还是别碰那些来路不明的“免费资源”网站。你省下的那点会员费，可能拿你银行卡里的钱来还。